вирус z-connect!!!

Printable View

15.10.2009, 16:08
Daniel3

вирус z-connect!!!

Соединение с интернетом обрубается каждые 30-40 сек. В сетевых подключениях создаётся соединеине z-connect, которое после удаления вновь появляется... Так же на диске с Windows создаётся файл из набора цифр и букв (каждый раз разный)...
15.10.2009, 16:22
snifer67

Выполните скрипт в avz
[code]begin
QuarantineFile('C:\WINDOWS\mHotkey.exe','');
QuarantineFile('D:\Document and settings\Надо!!!\Драйверы и Проги\ЛовиВконтакте v.2.21.rar','');
QuarantineFile('C:\WINDOWS\CNYUSB.dll','');
end.[/code]

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
15.10.2009, 16:37
light59

D:\Document and settings\Надо!!!\Драйверы и Проги\ЛовиВконтакте v.2.21.rar/{RAR}/ЛовиВконтакте v.2.21.exe >>>>> Trojan.Win32.Qhost.lkb

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
Clearquarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\CsgF.EXE','');
end.
[/CODE]
Пришлите карантин согласно правил по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR].

На данный момент проблемы остаются?
15.10.2009, 17:04
Daniel3

вот файл карантина... пока всё работает
15.10.2009, 17:16
Daniel3

а как узнать, исчез ли вирус, скажите пожалуйста...
15.10.2009, 23:04
thyrex

virus.zip удалите из вложение и пришлите согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
16.10.2009, 08:56
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\CsgF.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Повторите пункт 3 диагностики.

[size="1"][color="#666686"][B][I]Добавлено через 30 секунд[/I][/B][/color][/size]

Соединение z-connect появляется?
16.10.2009, 16:35
Daniel3

нет, соединение z-connect не появляется
17.10.2009, 10:47
Daniel3

добрый день... соединение z-connect опять появилось... интернет отключается... на диске с Windows появляются файлы (набор цифр и букв)...
17.10.2009, 11:43
Kuzz

Делайте логи снова
17.10.2009, 13:33
light59

Обновления, вышедшие после SP3 все стоят?
Логи делать с подключенными флешками
18.10.2009, 01:23
Daniel3

автоматическое обноваление у меня отключено...
18.10.2009, 01:33
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\drivers\cshf.exe');
QuarantineFile('c:\windows\system32\drivers\cshf.exe','');
DeleteFile('c:\windows\system32\drivers\cshf.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)

Сделайте новые логи
18.10.2009, 11:17
Daniel3

вот новые логи
18.10.2009, 12:26
rubin

проблемы решены ?
18.10.2009, 13:11
Daniel3

уже 1.5 часа нахожусь в интернете, соединение z-connect не появляется

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

я так понимаю, вируса больше нет... Огромное вам спасибо за помощь и терпение.)
22.10.2009, 23:18
Daniel3

Здравствуйте... Вирус z-connect снова появился. Может быть вам поможет эта информация. Я использую удалённый доступ, т.е. захожу на свой домашний компьютер с рабочего..(использую программу TeamViewer). После 1-го отключения теперь появился вирус a-connect. Пожалуйста помогите...
22.10.2009, 23:29
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\drivers\bsrbt.exe');
QuarantineFile('C:\i5m9z4a5w4x7.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\BSrBT.exe','');
QuarantineFile('C:\WINDOWS\system32\00.scr','');
QuarantineFile('C:\WINDOWS\system32\07.scr','');
QuarantineFile('C:\WINDOWS\system32\13.scr','');
QuarantineFile('C:\WINDOWS\system32\45.scr','');
QuarantineFile('C:\WINDOWS\Temp\eraseme_56606.exe',' ');
DeleteFile('C:\WINDOWS\system32\drivers\BSrBT.exe');
DeleteFile('C:\i5m9z4a5w4x7.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)

Сделайте новые логи

При помощи антивирусной программы [U]с актуальной базой [/U]проверьте все съемные носители, которые подключались к Вашему компьютеру
23.10.2009, 12:56
Daniel3

вот новые логи.
23.10.2009, 14:50
Никита Соловьев

Чисто
23.10.2009, 14:57
Daniel3

а вирус до сих пор присутствует... вырубает соединение... a-connect называется
23.10.2009, 15:38
Daniel3

вот новые логи, помогите пожалуйста
23.10.2009, 16:15
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\drivers\cbhf.exe');
QuarantineFile('C:\WINDOWS\system32\73.scr','');
QuarantineFile('C:\WINDOWS\system32\60.scr','');
QuarantineFile('C:\WINDOWS\system32\51.scr','');
QuarantineFile('C:\WINDOWS\system32\47.scr','');
QuarantineFile('C:\WINDOWS\system32\22.scr','');
QuarantineFile('C:\WINDOWS\system32\11.scr','');
QuarantineFile('C:\l3m9z4a5w4x7.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\T5FY4PS3\20[1].exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\CbhF.EXE','');
QuarantineFile('c:\windows\system32\drivers\cbhf.exe','');
DeleteFile('c:\windows\system32\drivers\cbhf.exe');
DeleteFile('C:\WINDOWS\system32\drivers\CbhF.EXE');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\T5FY4PS3\20[1].exe');
DeleteFile('C:\l3m9z4a5w4x7.exe');
DeleteFile('C:\WINDOWS\system32\11.scr');
DeleteFile('C:\WINDOWS\system32\22.scr');
DeleteFile('C:\WINDOWS\system32\47.scr');
DeleteFile('C:\WINDOWS\system32\51.scr');
DeleteFile('C:\WINDOWS\system32\60.scr');
DeleteFile('C:\WINDOWS\system32\73.scr');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)

Сделайте новые логи
24.10.2009, 10:18
Daniel3

вот новые логи
24.10.2009, 18:23
thyrex

Ничего плохого не видно

Обновите [URL="http://www.java.com/ru/download/manual.jsp"]JavaRE[/URL]
24.10.2009, 19:40
Daniel3

опять вирус a-connect... Оставил комп включённым и ушел. Когда вернулся, соединения нет.
24.10.2009, 19:46
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\46.scr','');
QuarantineFile('C:\i5m9z4a5w4x7.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C8CCXFUY\s[1].exe','');
TerminateProcessByName('c:\windows\system32\drivers\bssbt.exe');
QuarantineFile('c:\windows\system32\drivers\bssbt.exe','');
DeleteFile('c:\windows\system32\drivers\bssbt.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C8CCXFUY\s[1].exe');
DeleteFile('C:\i5m9z4a5w4x7.exe');
DeleteFile('C:\WINDOWS\system32\46.scr');
DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Поищите в папке system 32 scr-файлы с цифровым началом и удалите, если найдутся
Сделайте новые логи

Обновления после SP3 все стоят?
24.10.2009, 20:05
Daniel3

всё сделал, в папке system32 подобных файлов нет, автоматическое обновление у меня отключено...
24.10.2009, 20:08
thyrex

[QUOTE='Daniel3;492705']автоматическое обновление у меня отключено...[/QUOTE]Соответственно нужно установить все, что предложит [url]http://update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru[/url]

В логах вновь чистота. Флэшку проверяли на вирусы, кстати?
25.10.2009, 10:22
Daniel3

Вложений: 3

обновления установил, флэшку проверил, на ней вирус
25.10.2009, 11:18
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('H:\RECYCLER\S-51-9-25-3434476501-1644491933-601013350-1214\BSsBT.exe','');
QuarantineFile('C:\WINDOWS\system32\03.scr','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\SI022E2Z\s[1].exe','');
TerminateProcessByName('c:\windows\system32\drivers\bssbt.exe');
DeleteFile('c:\windows\system32\drivers\bssbt.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\SI022E2Z\s[1].exe');
DeleteFile('C:\i5m9z4a5w4x7.exe');
DeleteFile('C:\WINDOWS\system32\03.scr');
DeleteFile('H:\RECYCLER\S-51-9-25-3434476501-1644491933-601013350-1214\BSsBT.exe');
DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
25.10.2009, 23:13
Daniel3

всё сделал
25.10.2009, 23:41
thyrex

Ничего плохого не видно
28.10.2009, 09:57
light59

Чувствую, скоро снова к нам придёте.
Ознакомьтесь с этим [URL="http://virusinfo.info/showthread.php?t=30339"]http://virusinfo.info/showthread.php?t=30339[/URL]
28.10.2009, 18:08
Daniel3

большое спасибо за информацию, впредь учту данные рекомендации
29.10.2009, 18:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]7[/B][*]Обработано файлов: [B]123[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\c8ccxfuy\s[1].exe - [B]Trojan.Win32.Buzus.cjdb[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )[*] c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\si022e2z\s[1].exe - [B]Trojan.Win32.Buzus.cjdb[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )[*] c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\t5fy4ps3\20[1].exe - [B]Trojan.Win32.Buzus.cizr[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )[*] c:\i5m9z4a5w4x7.exe - [B]Trojan.Win32.Buzus.cizs[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Dialer.Generic.49808, AVAST4: Win32:Trojan-gen )[*] c:\l3m9z4a5w4x7.exe - [B]Trojan.Win32.Buzus.cizs[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Dialer.Generic.49808, AVAST4: Win32:Trojan-gen )[*] c:\windows\system32\drivers\bssbt.exe - [B]Trojan.Win32.Buzus.cjdb[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\drivers\cbhf.exe - [B]Trojan.Win32.Buzus.cizr[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\drivers\csgf.exe - [B]Net-Worm.Win32.Kolab.eih[/B] ( DrWEB: BackDoor.IRC.Bot.143, BitDefender: Trojan.Generic.2614988, NOD32: Win32/AutoRun.IRCBot.DI worm, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\drivers\cshf.exe - [B]Trojan.Win32.Buzus.chrj[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Rootkit.28111, NOD32: Win32/AutoRun.IRCBot.DI worm, AVAST4: Win32:Dialer-gen [Dialer] )[*] c:\windows\system32\03.scr - [B]Trojan.Win32.Buzus.cjdb[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\11.scr - [B]Trojan.Win32.Buzus.cizr[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\22.scr - [B]Trojan.Win32.Buzus.cizr[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\46.scr - [B]Trojan.Win32.Buzus.cjdb[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\47.scr - [B]Trojan.Win32.Buzus.cizr[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\51.scr - [B]Trojan.Win32.Buzus.cizr[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\60.scr - [B]Trojan.Win32.Buzus.cizr[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\73.scr - [B]Trojan.Win32.Buzus.cizr[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )[*] h:\recycler\s-51-9-25-3434476501-1644491933-601013350-1214\bssbt.exe - [B]Trojan.Win32.Buzus.cjdb[/B] ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )[/LIST][/LIST]