Троян FakeAlert и постоянные перезагрузки

Printable View

16.08.2009, 19:53
Monax

Вложений: 3

Троян FakeAlert и постоянные перезагрузки

Прошу всех, кто может чем-нибудь помочь мне с такой проблемой.

Сначала вылазит окно, мол антивирус нашел вирусы , потом сообщение по-английски в правом нижнем углу экрана, что ваш комп инфицирован spyware, и теперь надо скачать какую то хрень, она сразу же начинает качаться(без согласия пользователя), потом эта antispyware 2010 находит аж 35 вирусов в системе и просит купить лицензию этой проги. Так было не очень давно. С помощью CureIT! я удалил троян fakeAlert, и какой-то Trojan.NtRootKit.3206,и еще какой-то вирус, сидящий в ntfs.sys.
Теперь,когда я включаю компьютер, все идет как надо: запускается винда, все запустилось без ошибок. После этого, когда я подключаю интернет, вылазит сообщение : "E:\WIND2009\system32\dllcache\figaro.sys - инфицирован Trojan.NtRootKit.3206", если нажать лечить/запретить/перемесить/удалить/переименовать, то компьютер перезагрузится. Еще в правом нижнем углу экрана появился красный кружок с белым крестиком внутри при наведении на него мышкой пишет следующее:

Your computer is infected!
Windows has detected spyware infection!
It is recomended to use special antispyware tools to pervent data loss/ Windows will now download and install the most up-to-date antispyware for you.
Click here to protect your computer from spyware!
До подключения компьютера к интернету, все идет нормально.
Антивирус DRweb, система windows XP.В диспетчере задач сидит процесс braviax.exe, также появилось много svchost.exe и процесс msword98.exe(4 штуки). Я убрал эти процессы из автозапуска, но braviax.exe все равно запускается. Кстати, теперь, когда запускаешь cureit или AVPtool, пишет, что вирусные базы повреждены или путь к ним неправильный(как в обычном, так и в безопасном режиме).
16.08.2009, 20:02
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKLM\..\Run: [Regedit32] E:\WIND2009\system32\regedit.exe
O4 - HKLM\..\Run: [braviax] E:\WIND2009\system32\braviax.exe
O20 - AppInit_DLLs: cru629.dat
[/CODE]
-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('e:\wind2009\temp\bn15.tmp');
QuarantineFile('E:\WIND2009\system32\braviax.exe','');
QuarantineFile('E:\WIND2009\system32\Drivers\Ntfs.sys','');
QuarantineFile('E:\WIND2009\TEMP\BN15.tmp','');
QuarantineFile('E:\WIND2009\system32\cru629.dat','');
DeleteFile('E:\WIND2009\system32\cru629.dat');
DeleteFile('E:\WIND2009\TEMP\BN15.tmp');
DeleteFile('E:\WIND2009\system32\braviax.exe');
DeleteFileMask('E:\WIND2009\TEMP','*.*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- Файл [B]E:\WIND2009\system32\Drivers\Ntfs.sys[/B] замените на чистый: [url]http://virusinfo.info/showthread.php?t=51654[/url]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
17.08.2009, 13:47
Monax

Вложений: 3

1)Темп-папки очистил, кэш проводников и корзину тоже.
2)логи прикрепил
3)Не знаю где взять дистрибутив. Как обычно все пошло не так, как вы описали. Во время выполнения скрипта прога висла 2 раза, но потом в папке Quarantine все же появились файлы, но после выполнения пунктов 1-3 раздела правил, они исчезли...
3)Недавно проверил систему cureit. Прога нашла троян Proxy и 2 трояна FakeAlert, удалил.

Мне выполнить этот скрипт еще раз?
17.08.2009, 14:54
Bratez

[QUOTE=Monax;450384]Мне выполнить этот скрипт еще раз?[/QUOTE]
Нет.

Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Regedit32] E:\WIND2009\system32\regedit.exe
[/code]
Надо заменить [B]ntfs.sys[/B], в остальном все нормально.
Если так и не нашли, где его взять, скиньте e-mail в личку, я вам пришлю.
17.08.2009, 15:15
Monax

Пофиксил, но теперь все равно после подключения к интернету появляется сообщение "E:\WIND2009\system32\dllcache\figaro.sys - инфицирован Trojan.NtRootKit.3206", хоть и компьютер не перезагружается после удаления\переименования\перемещения\запрещения\лечения. Мэйл я скинул в личку. В процессах по-прежнему сидит braviax.exe и PC_Antispyware2010.exe.
17.08.2009, 15:29
Bratez

Файл выслал.

После его азмены выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\WIND2009\system32\Drivers\Beep.sys','');
DeleteFile('E:\WIND2009\system32\braviax.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
17.08.2009, 15:50
Monax

Вложений: 2

Файл заменил, скрипт выполнил, карантин прислал. Логи вот.
17.08.2009, 16:11
Bratez

ntfs.sys опять зловредный висит! замените снова.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('E:\Program Files\PC_Antispyware2010\AVEngn.dll');
DeleteFile('E:\Program Files\PC_Antispyware2010\htmlayout.dll');
DeleteFile('E:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe');
DeleteFile('E:\WIND2009\system32\braviax.exe');
DeleteFile('E:\WIND2009\braviax.exe');
DeleteFile('E:\WIND2009\system32\regedit.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
17.08.2009, 16:45
Monax

Вложений: 2

логи
17.08.2009, 17:02
thyrex

1. Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\WIND2009\system32\regedit.exe','');
TerminateProcessByName('e:\wind2009\temp\bn1c.tmp');
QuarantineFile('e:\wind2009\temp\bn1c.tmp','');
DeleteFile('e:\wind2009\temp\bn1c.tmp');
DeleteFile('E:\WIND2009\system32\regedit.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

2.Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

3. [B][COLOR="Red"]E:\WIND2009\system32\Drivers\Ntfs.sys[/COLOR][/B] заменить [B]из дистрибутива[/B] по [URL="http://virusinfo.info/showthread.php?t=51654"]этой методике[/URL]

4. Сделайте новые логи
17.08.2009, 17:43
Monax

Вложений: 3

Скрипт выполнил, файл заменил, карантин прислал, вот логи
17.08.2009, 18:38
thyrex

Уж не знаю, как Вы заменяете, но патченый файл на месте.

Укажите, пожалуйста, какой командой Вы прописываете для замену
17.08.2009, 19:32
Monax

Я вообще-то просто заменяю ctrl+c ctrl+v.....(у меня нет дистрибутива)

да, сначала я заменил неправильно, в dllcache, после того как Bratez отослал мне его, но теперь я поставил его в E:\WIND2009\system32\Drivers\

[size="1"][color="#666686"][B][I]Добавлено через 47 минут[/I][/B][/color][/size]

Ну так что мне теперь делать?......:(
17.08.2009, 20:22
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]
O4 - HKLM\..\Run: [PC Antispyware 2010] "E:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe" /hide
O4 - HKLM\..\Run: [Regedit32] E:\WIND2009\system32\regedit.exe
[/CODE]

-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('e:\program files\pc_antispyware2010\pc_antispyware2010.exe');
DeleteFile('e:\program files\pc_antispyware2010\pc_antispyware2010.exe');
DeleteFile('E:\Program Files\PC_Antispyware2010\htmlayout.dll');
DeleteFile('E:\Program Files\PC_Antispyware2010\AVEngn.dll');
DeleteFileMask('E:\Program Files\PC_Antispyware2010','*.*',true);
DeleteDirectory('E:\Program Files\PC_Antispyware2010');
DeleteFile('E:\WIND2009\system32\regedit.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Файл [B]E:\WIND2009\system32\Drivers\Ntfs.sys[/B] замените тем файлом, который Bratez прислал (надеюсь, что он у Вас где-то не на диске Е:\ находится) ;)
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
17.08.2009, 20:54
Monax

Вложений: 3

Заменил, но...почему он должен находиться не не диске Е?
При проверке AVZ обнаруживает какую-то подмену имени у файлов
spiderui.exe
spidernt.exe
17.08.2009, 21:03
Rene-gad

[QUOTE=Monax;450655]Заменил, но...почему он должен находиться не не диске Е?[/QUOTE]У Вас вирус, который заражает файл [B]Ntfs.sys[/B] если он находится на [B]диске Е:\ [/B], ergo ...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=Monax;450655]
При проверке AVZ обнаруживает какую-то подмену имени у файлов
[/QUOTE]Это нормально: у Вас Др.Веб работает :)

В логах ничего подозрительного. Жалобы есть?
17.08.2009, 21:23
Monax

А если этот файл находится в архиве? Просто я скачал его из письма на рабочий стол, а рабочий стол на диске Е.
Как избежать подобного в будущем? Может у microsoft есть патч на винду, просто когда я избавлялся от Kido, то я пролечил комп, скачал и установил патч с их сайта и Kido у меня не появлялся.
Жалоб нет, спасибо вам!
17.08.2009, 21:30
Rene-gad

[QUOTE=Monax;450678]А если этот файл находится в архиве?[/QUOTE]Только если архив защищен паролем :)
[QUOTE]Как избежать подобного в будущем? [/QUOTE]
- Прочитайте [URL="http://virusinfo.info/showthread.php?t=30339"]Как не стать завсегдатаем раздела Помогите?[/URL]
- Установите все важные патчи.
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
- Установите IE 8
17.08.2009, 21:41
Monax

"Установите все важные патчи" - например, какие?
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) - это что?
"- Установите IE 8" - а если я пользуюсь оперой?
17.08.2009, 22:39
Rene-gad

[QUOTE=Monax;450693]"Установите все важные патчи" - например, какие?
[/QUOTE][url]www.windowsupdate.com[/url] , Быстрый поиск
[QUOTE]MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) - это что?[/QUOTE]"то то, что у Вас установлено
[QUOTE]"- Установите IE 8" - а если я пользуюсь оперой?[/QUOTE]Пользуйтесь чем хотите, но ИЕ - часть операционки и должен быть на уровне.
18.08.2009, 21:42
Monax

Еще раз спасибо за помощь! Отключил ненужные службы, убрал автозапуски флэшек и дисков!
19.08.2009, 21:42
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] e:\wind2009\temp\bn1c.tmp - [B]Trojan-Downloader.Win32.FraudLoad.fge[/B] ( AVAST4: Win32:MalOb-N [Cryp] )[/LIST][/LIST]