z-connect

Printable View

02.10.2009, 21:00
Ubar777

Вложений: 2

z-connect

Помогите с нежеланным жильцом, пожалуйста :)
02.10.2009, 21:03
Гриша

Выполните скрипт:

[CODE]begin
SearchRootkit(true, true);
SetAVZPMStatus(True);
QuarantineFile('C:\WINDOWS\system\dllcache.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\WINDOWS\system\dllcache.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
SetAVZGuardStatus(True);
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
02.10.2009, 21:53
Ubar777

В списке файлов карантина пусто. логи высылаю
03.10.2009, 00:14
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\mslsrv32.exe');
QuarantineFile('c:\windows\mslsrv32.exe','');
DeleteFile('c:\windows\mslsrv32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL]
03.10.2009, 10:33
Ubar777

карантин выслал, логи сделал. Гмер ничего не нашел, поэтому пустой лог не выставляется
03.10.2009, 18:34
thyrex

[QUOTE='Ubar777;478764']Гмер ничего не нашел, поэтому пустой лог не выставляется[/QUOTE]Такого просто не может быть :)
Вы на кнопку [B]Scan[/B] нажимали? Окончания проверки дождались?
03.10.2009, 19:33
Ubar777

я проверил диск С. сейчас попробую все проверить
03.10.2009, 20:12
thyrex

Главное лог выложите
04.10.2009, 08:59
Ubar777

выдал ошибку GMER has found system modification caused by ROOTKIT activity. лог выкладываю
04.10.2009, 10:44
snifer67

Запустите Gmer. Нажмите на кнопку «>>>» для отображения дополнительных функций программы. Выбрать вкладку CMD. В верхнее окно скопируйте текст ниже и запустите (Run)
[CODE]
gmer.exe -del service afctmav
gmer.exe -del service vhulrsnc
gmer.exe -del file "C:\WINDOWS\system32\gtfidf.dll''
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\afctmav''
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\vhulrsnc''
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\afctmav''
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\vhulrsnc''
gmer.exe -reboot
[/CODE]
ПК перезагрузится.

Сделайте новый лог gmer.
04.10.2009, 16:33
Ubar777

скопировал текст как было указано, но комп не перезагружается, при этом лог внизу оформлен непонятными символами (см. вложение).

новый лог гмер делаю
04.10.2009, 16:49
Bratez

Что-то не то у вас получилось.
Указанный выше код для гмера лучше сохранить в виде bat-файла в папку с гмером и запустить этот bat-файл. Потом сделайте новый лог.
04.10.2009, 19:28
Ubar777

сделал проверку гмером отдельно system и диска С. на проверке диска вылал ошибку Gmer hasn't found any system modification. лог проверки system выкладываю.
Сделал бат-файл с кодом гмера как записано выше - результат тот же, то есть нет перезагрузки .
04.10.2009, 19:49
thyrex

Слегка модернизируем рекомендацию и скрипт [B]snifer67[/B]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится lisrk0n9.exe (gmer)
[CODE]lisrk0n9.exe -del service afctmav
lisrk0n9.exe -del service vhulrsnc
lisrk0n9.exe -del file "C:\WINDOWS\system32\gtfidf.dll"
lisrk0n9.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\afctmav"
lisrk0n9.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\vhulrsnc"
lisrk0n9.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\afctmav"
lisrk0n9.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\vhulrsnc"
lisrk0n9.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer
04.10.2009, 20:52
Ubar777

сделал cleanup.bat. на каждую строку вышла ошибка - Процессор NTVDM обнаружил недопустимую инструкцию. с разными адресами. Комп опять не перезагрузился почему-то.
Файл lisrk0n9 (гмер) теперь при запуске выдает такую же ошибку.
скачал гмер заново ( jlrd6ypl ) и провел проверку диска С. ошибка - Gmer hasn't found any system modification.

Кстати посмотрел сетевые подключения - z-connect исчез :).
вчера один обрыв был точно, сегодня не было.

накаркал - в подключения инет пишет отключено, хотя связь есть (если правка появилась, точно есть)
а теперь и обрывы зафиксировал
05.10.2009, 00:53
thyrex

[QUOTE='thyrex;479551']Сделать новый лог gmer[/QUOTE]И где?

И обычные правила еще раз выполните
05.10.2009, 22:59
Ubar777

Лог гмер сделать не получается из-за ошибки (в логе пусто). ошибка - Gmer hasn't found any system modification.

логи обычные выкладываю
05.10.2009, 23:30
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv32.sys','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
TerminateProcessByName('c:\windows\system32\restorer32_a.exe');
QuarantineFile('c:\windows\system32\restorer32_a.exe','');
TerminateProcessByName('c:\windows\mslsrv32.exe');
QuarantineFile('c:\windows\mslsrv32.exe','');
DeleteFile('c:\windows\mslsrv32.exe');
DeleteFile('c:\windows\system32\restorer32_a.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\afctmav\Parameters');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\afctmav');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\hsjlgyxck\Parameters');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\hsjlgyxck');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\vhulrsnc\Parameters');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\vhulrsnc');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\afctmav\Parameters');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\afctmav');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\hsjlgyxck\Parameters');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\hsjlgyxck');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\vhulrsnc\Parameters');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\vhulrsnc');
DeleteService('afctmav');
DeleteService('hsjlgyxck');
DeleteService('vhulrsnc');
QuarantineFile('C:\WINDOWS\system32\gtfidf.dll','');
DeleteFile('C:\WINDOWS\system32\gtfidf.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B]СРОЧНО ОБНОВЛЯЙТЕ СИСТЕМУ[/B]
Установите SP3 (может потребоваться активация) + все новые заплатки

Сделайте новые логи + лог gmer (если не будет получаться в нормальном режиме, тогда в безопасном)
07.10.2009, 19:54
Ubar777

Про обновления понял, спасибо.
Карантин выслал, логи выкладываю, кроме гмер (в безопасном режиме таже ошибка и пустой лог).
07.10.2009, 23:43
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Травин Виктор\Local Settings\Temp\BN1C.tmp','');
QuarantineFile('C:\Documents and Settings\Травин Виктор\Local Settings\Temp\BN1A.tmp','');
QuarantineFile('C:\Documents and Settings\Травин Виктор\Local Settings\Temp\BN19.tmp','');
DeleteFile('C:\Documents and Settings\Травин Виктор\Local Settings\Temp\BN19.tmp');
DeleteFile('C:\Documents and Settings\Травин Виктор\Local Settings\Temp\BN1A.tmp');
DeleteFile('C:\Documents and Settings\Травин Виктор\Local Settings\Temp\BN1C.tmp');
DeleteFileMask('C:\Documents and Settings\Травин Виктор\Local Settings\Temp', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
08.10.2009, 21:45
Ubar777

Все сделал и выложил
08.10.2009, 22:30
PavelA

Версия Windows: 5.1.2600, Service Pack 2 ; - пока не обновите будете ловить зверей.
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\documents and settings\Травин Виктор\application data\microsoft\bunohesoud.exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\mydarou.exe','');
QuarantineFile('c:\documents and settings\Травин Виктор\application data\microsoft\ruwobec.exe','');
QuarantineFile('c:\windows\mslsrv32.exe','');
DeleteFile('c:\windows\mslsrv32.exe');
BC_ImportAll;
ExecuteSysclean;
RebootWindows(true);
end.[/CODE]
Прислать карантин по Правила.
Сделать новые логи.
09.10.2009, 21:09
Ubar777

Вложений: 3

добыл sp3. скоро переставлю.
Карантин и логи высылаю. virusinfo_syscure не изменился почему-то
09.10.2009, 22:06
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Травин Виктор\Application Data\Microsoft\bunohesoud.exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\mydarou.exe','');
QuarantineFile('C:\Documents and Settings\Травин Виктор\Application Data\Microsoft\pihec.exe','');
QuarantineFile('C:\Documents and Settings\Травин Виктор\Application Data\Microsoft\ruwobec.exe','');
DeleteService('feyhuieyy');
DeleteService('aeiajea52aies');
TerminateProcessByName('c:\windows\mslsrv32.exe');
QuarantineFile('c:\windows\mslsrv32.exe','');
TerminateProcessByName('c:\documents and settings\Травин Виктор\application data\microsoft\bunohesoud.exe');
QuarantineFile('c:\documents and settings\Травин Виктор\application data\microsoft\bunohesoud.exe','');
DeleteFile('c:\documents and settings\Травин Виктор\application data\microsoft\bunohesoud.exe');
DeleteFile('c:\windows\mslsrv32.exe');
DeleteFile('C:\Documents and Settings\Травин Виктор\Application Data\Microsoft\ruwobec.exe');
DeleteFile('C:\Documents and Settings\Травин Виктор\Application Data\Microsoft\pihec.exe');
DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\mydarou.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','bole');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','bole');
DeleteFile('C:\Documents and Settings\Травин Виктор\Application Data\Microsoft\bunohesoud.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','bole');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','wisohiv');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','bole');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
09.10.2009, 22:43
Ubar777

Логи сделал, карантин высылаю.
09.10.2009, 23:18
thyrex

Чисто, но может оказаться ненадолго.
Стоит начать обновление
10.10.2009, 12:02
Ubar777

Спасибо вам огромное
11.10.2009, 12:02
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]46[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\localservice.nt authority\application data\microsoft\mydarou.exe - [B]Backdoor.Win32.Oderoor.a[/B] ( DrWEB: Trojan.MulDrop.34922 )[*] c:\documents and settings\травин виктор\application data\microsoft\bunohesoud.exe - [B]Trojan.Win32.Agent2.ciqn[/B] ( DrWEB: Trojan.MulDrop.34923, BitDefender: Backdoor.Generic.214012, NOD32: Win32/Agent.OQP trojan, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\травин виктор\application data\microsoft\pihec.exe - [B]Trojan.Win32.Agent2.ciqn[/B] ( DrWEB: Trojan.MulDrop.34923, BitDefender: Backdoor.Generic.214012, NOD32: Win32/Agent.OQP trojan, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\травин виктор\application data\microsoft\ruwobec.exe - [B]Trojan.Win32.Agent2.ciqn[/B] ( DrWEB: Trojan.MulDrop.34923, BitDefender: Backdoor.Generic.214012, NOD32: Win32/Agent.OQP trojan, AVAST4: Win32:Trojan-gen )[*] c:\documents and settings\травин виктор\local settings\temp\bn1a.tmp - [B]Backdoor.Win32.SdBot.oma[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, BitDefender: Trojan.Generic.2298493, AVAST4: Win32:Inject-UW [Trj] )[*] c:\documents and settings\травин виктор\local settings\temp\bn1c.tmp - [B]Backdoor.Win32.SdBot.oma[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, BitDefender: Trojan.Generic.2298493, AVAST4: Win32:Inject-UW [Trj] )[*] c:\documents and settings\травин виктор\local settings\temp\bn19.tmp - [B]Backdoor.Win32.SdBot.oma[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, BitDefender: Trojan.Generic.2298493, AVAST4: Win32:Inject-UW [Trj] )[*] c:\windows\mslsrv32.exe - [B]Trojan.Win32.Buzus.cdll[/B] ( DrWEB: BackDoor.IRC.Bot.144, BitDefender: Worm.Generic.91433 )[*] c:\windows\mslsrv32.exe - [B]Backdoor.Win32.SdBot.pce[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, BitDefender: Worm.Generic.90765 )[*] c:\windows\system32\drivers\sysdrv32.sys - [B]Backdoor.Win32.IRCBot.jsm[/B] ( DrWEB: Tool.TcpZ, BitDefender: Rootkit.Agent.AJBM, AVAST4: Win32:Tcpz [Tool] )[*] c:\windows\system32\restorer32_a.exe - [B]Trojan-Downloader.Win32.Mutant.fmk[/B] ( DrWEB: Trojan.DownLoad.41506, BitDefender: Trojan.Generic.2505337 )[/LIST][/LIST]