Trojan-Clicker.Win32.Costrat.gb или уже его нет?

Printable View

10.07.2009, 18:36
Atty

Вложений: 3

Trojan-Clicker.Win32.Costrat.gb или уже его нет?

Здравствуйте. Прошу, помогите.:(
Касперский обнаруживает [B]Trojan-Clicker.Win32.Costrat.gb [/B]и для удаления просит перезагрузить комп, после чего снова обнаруживает тот же троян. ЗАпустила AVZ и HijackThis согласно вашим рекомендациям.Файлы прилагаю. Теперь Касперский его не находит(уже удалился чтоли???), система так и притормаживает. Может что еще осталось ?.
10.07.2009, 18:59
DefesT

Добрый вечер.
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в [U]AVZ[/U]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\BitAccelerator\BitAccelerator.dll','');
QuarantineFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll','');
QuarantineFile('digeste.dll','');
QuarantineFile('C:\Documents and Settings\ZMEY5\Главное меню\Программы\Автозагрузка\rncsys32.exe','');
QuarantineFile('C:\WINDOWS\system32\08.tmp','');
QuarantineFile('C:\WINDOWS\System32\Drivers\ati2yxxx.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\atksgt.sys','');
QuarantineFile('C:\Program Files\AskBarDis\bar\bin\ASKUpgrade.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\dtscsi.sys','');
DelBHO('201f27d4-3704-41d6-89c1-aa35e39143ed');
DelBHO('1F460357-8A94-4D71-9CA3-AA4ACF32ED8E');
DelBHO('3041d03e-fd4b-44e0-b742-2d9b88305f98');
DelBHO('92860A02-4D69-48c1-82D7-EF6B2C609502');
DeleteService('ASKUpgrade');
DeleteService('ati2yxxx');
DeleteService('ldvkhpsp');
DeleteFile('C:\Program Files\AskBarDis\bar\bin\ASKUpgrade.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\ati2yxxx.sys');
DeleteFile('C:\WINDOWS\system32\08.tmp');
DeleteFile('C:\Documents and Settings\ZMEY5\Главное меню\Программы\Автозагрузка\rncsys32.exe');
DeleteFile('digeste.dll');
DeleteFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll');
DeleteFile('C:\Program Files\BitAccelerator\BitAccelerator.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ASKUpgrade');
BC_DeleteSvc('ati2yxxx');
BC_DeleteSvc('ldvkhpsp');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузиться!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Очистите временный папки интернета.
[QUOTE][/QUOTE]
Сделайте новые логи по правилам.
10.07.2009, 19:50
Atty

Вложений: 3

Карантин отправила, но не поняла загрузился или нет
+ новые логи
10.07.2009, 20:41
DefesT

Карантин получен.
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в [U]AVZ[/U]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('omlbjimzu');
DeleteFile('C:\Program Files\BitAccelerator\BitAccelerator.exe');
DeleteFile('C:\Program Files\bitaccelerator\bitaccelerator.*');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('omlbjimzu');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузиться!!!
Сделайте новые логи по правилам.
Сделайте еще лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] (скан диска [B]C[/B])
11.07.2009, 00:55
Atty

Вложений: 3

Все сделала.
Проблема с сохранением Лога gmer. В конце проверки появилось сообщение. что внимание! Gmer has found system modificasion caused by ROOTKIT activity. Вариантов небыло, только кнопка ок. Вот тоько сохранить лог не представляю как:O -- Кнопок нет и в помине, в частности "сохранить", ее просто нет! Может не так что сделала? и проверял 3 часа целых. ...
11.07.2009, 01:06
thyrex

При подготовке лога gmer сворачивали окно программы или разворачивали на весь экран? Только в этом случае кнопка Save может исчезнуть.
Если это так, то создание лога придется повторить
11.07.2009, 01:28
Atty

нет, во весь экран не разворачивала. исчезли все кнопки в этом поле не только сэйв но и скан и др. При сканировании нужно также все выгрузить? И проверка 3 часа нормально?
11.07.2009, 01:50
Atty

Вложений: 1

Вот все что нашел GMER
11.07.2009, 11:01
V_Bond

3 часа нормально ... но вам придется переделать он не весь ...
11.07.2009, 14:19
Atty

Вложений: 1

Ну вот , вроде весь
11.07.2009, 19:31
Atty

И что-то тихо.... Как там, все впорядке или еще нет?Больной жить будет? И чтоже я там нахватала?
11.07.2009, 20:09
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\vzelpnzn.dll','');
DeleteFile('C:\WINDOWS\system32\vzelpnzn.dll');
DeleteService('omlbjimzu', true);
BC_ImportDeletedList;
BC_DeleteSvc('omlbjimzu');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите лог gmer
11.07.2009, 23:58
Atty

Вложений: 1

Лог сделала. опять сообщение Gmer has found system modificasion caused by ROOTKIT activity.

А карантин пуст... При загрузке комп периодически притормажевает пока, может правда от зачистки....
ну как больной? ;)
12.07.2009, 00:08
V_Bond

выполните [url]http://support.kaspersky.ru/wks6mp3/error?qid=208636215[/url]
затем заново лог ...
12.07.2009, 23:50
Atty

Вложений: 1

[QUOTE=V_Bond;430577]выполните [url]http://support.kaspersky.ru/wks6mp3/error?qid=208636215[/url]
затем заново лог ...[/QUOTE]

Спасибо, выполнила, там вроде все по нулям, а вот лог..
13.07.2009, 00:05
thyrex

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[code]gmer.exe -del service omlbjimzu
gmer.exe -del file "C:\WINDOWS\system32\vzelpnzn.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\omlbjimzu"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\omlbjimzu"
gmer.exe -reboot[/code]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer
13.07.2009, 00:05
V_Bond

скопируйте содержимое в блокнот , сохраните как 1.bat , в папке со gmer , запустите
[code]
gmer.exe -del service omlbjimzu
gmer.exe -del file "C:\WINDOWS\system32\vzelpnzn.dll"
gmer.exe -del file "C:\WINDOWS\system32\gxvxctaivkytkucukyomeoonmdqruufytgjig.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\omlbjimzu@ObjectName "
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\omlbjimzu@Description"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\omlbjimzu\Parameters"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\omlbjimzu\Parameters@ServiceDl"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet003\Services\omlbjimzu@ObjectName "
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet003\Services\omlbjimzu@Description"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet003\Services\omlbjimzu\Parameters"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet003\Services\omlbjimzu\Parameters@ServiceDl"
gmer -reboot
[/code]
повторите лог gmer
13.07.2009, 00:20
Atty

ОЙ, Спасибо, thyrex, V_Bond! Что-то совсем запуталась, что выполнять и то и другое или что-то одно, гмер на рабочем столе. Забыла написать, проверила еще раз касперским, он не ругается, но пишет что обнаружена уязвимость (11шт), приччем в таких файлах как напр. ворд,эксель,вин зип и др. С этим пока ничего не надо делать или потом патчи поставить? Сорри , но я не особо разбираюсь...
13.07.2009, 00:29
thyrex

Скрипт для gmer можете выполнить любой.
Уязвимости нужно закрывать. Когда вы щелкаете в отчете Касперского на ссылку с уязвимостью, то переходите на страницу с описанием уязвимости и способом ее исправления
13.07.2009, 11:56
V_Bond

....
13.07.2009, 14:41
Atty

Вложений: 1

Спасибо! Вот последний лог
13.07.2009, 15:29
thyrex

В логе чисто.

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Adobe Acrobat 9.1 или удалите старый
13.07.2009, 15:50
Atty

Спасибо ВСЕМ огромное за помощь. Пошла ставить заплатки!!!:dance::tender:
14.07.2009, 15:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\zmey5\главное меню\программы\автозагрузка\rncsys32.exe - [B]Backdoor.Win32.Zdoogu.et[/B][*] c:\program files\bitaccelerator\bitaccelerator.exe - [B]not-a-virus:WebToolbar.Win32.BitAccelerator.o[/B] ( DrWEB: Adware.BitAcc.12, BitDefender: Adware.Accelerator.R )[/LIST][/LIST]