Backdoor,jeefo,neshta etc

Printable View

27.10.2009, 07:41
GrishGun

Backdoor,jeefo,neshta etc

завилась всякая гадость Backdoor,jeefo,neshta и другие. отрубают интернет,запускаю вредные системные задачи.компьютер зависает.Выдает так же ошибку Generic Host Process for Win32 Services,блокирует некоторые части сайта MS

За ранее спасибо, с уважением Григорий.
27.10.2009, 08:41
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteAVUpdate;
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('c:\windows\msvddr32.exe','');
TerminateProcessByName('c:\windows\msvddr32.exe');
DeleteFile('c:\windows\msvddr32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('FCI');
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=58412[/url]

3. Повторите логи.
27.10.2009, 09:09
GrishGun

Карантин загрузил,ниже повторные логи
27.10.2009, 11:22
GrishGun

в vpn подключениях появился a-connect

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Так же avz нашел trojan.win32.buzus.cizr

[size="1"][color="#666686"][B][I]Добавлено через 33 минуты[/I][/B][/color][/size]

так же есть подозрения, что всякая гадость висит не только на диске С

[size="1"][color="#666686"][B][I]Добавлено через 1 час 26 минут[/I][/B][/color][/size]

проблема все еще актуальна
27.10.2009, 11:28
snifer67

[COLOR="Red"][B]- Отключите Системное восстановление.[/B][/COLOR]

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]:
[CODE]O4 - HKLM\..\Run: [muBlinder] C:\Documents and Settings\KRUSH\Local Settings\Temp\Rar$EX00.824\muBlinder.exe -startup
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\system32\drivers\CbhF.EXE
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\system32\drivers\CbhF.EXE
[/CODE]

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\RECYCLER\S-1-5-21-8312190232-8204312036-071716259-7762\wmfcgr.exe','');
QuarantineFile('C:\Documents and Settings\KRUSH\Local Settings\Temp\Rar$EX00.824\muBlinder.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\CbhF.EXE','');
DeleteFile('C:\WINDOWS\system32\drivers\CbhF.EXE');
DeleteFile('C:\RECYCLER\S-1-5-21-8312190232-8204312036-071716259-7762\wmfcgr.exe');
DeleteFile('C:\Documents and Settings\KRUSH\Local Settings\Temp\Rar$EX00.824\muBlinder.exe');
DeleteFileMask('C:\Documents and Settings\KRUSH\Local Settings\Temp','*.*',true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','muBlinder');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
27.10.2009, 12:03
GrishGun

подфиксил и выполнил скрипт. а где взять карантин,чтобы его выложить?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

нашел как сделать карантин, сейчас отправлю и сделаю новые логи
27.10.2009, 14:46
GrishGun

все сделал.карантин загрузил.вот логи
27.10.2009, 15:38
GrishGun

в задачах все равно висит какое то зло например smss.exe
27.10.2009, 15:43
V_Bond

такой лог сделайте [url]http://www.gmer.net/[/url]
27.10.2009, 23:28
thyrex

+ к [B]V_Bond[/B]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\aihsn.exe');
QuarantineFile('C:\WINDOWS\system32\servises.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1631272081-3483836898-516826669-1231\wmfcgr.exe','');
TerminateProcessByName('c:\windows\mslsrv32.exe');
QuarantineFile('c:\windows\mslsrv32.exe','');
QuarantineFile('c:\aihsn.exe','');
DeleteFile('c:\windows\mslsrv32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1631272081-3483836898-516826669-1231\wmfcgr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\servises.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','servises');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','servises');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','servises');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
DeleteFile('c:\aihsn.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
27.10.2009, 23:59
ALEX(XX)

[QUOTE='GrishGun;494349']jeefo,neshta[/QUOTE]
Это файловые вирусы. Полностью проверьте компьютер с помощью CureIt или AVPTool в безопасном режиме, а затем в обычном. Ни одного зараженного файла не должно остаться, иначе, если он запустится, получите ту же картину
28.10.2009, 09:47
GrishGun

Снес винду,поставил снова. Сразу появился a-connect. видимо вирусы сидят не только на диске С
28.10.2009, 11:34
GrishGun

видимо a-connect тоже самое что и z-connect

[size="1"][color="#666686"][B][I]Добавлено через 52 минуты[/I][/B][/color][/size]

опять зависает компьютер,отключает доступ в инет и опять Generic Host Process for Win32 Services

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

помогите
28.10.2009, 19:01
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('C:\i5m9z4a5w4x7.exe','');
QuarantineFile('C:\WINDOWS\system32\*.scr','');
QuarantineFile('c:\windows\system32\drivers\bssbt.exe','');
TerminateProcessByName('c:\windows\system32\drivers\bssbt.exe');
DeleteFile('c:\windows\system32\drivers\bssbt.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\24.scr');
DeleteFile('C:\i5m9z4a5w4x7.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=58412[/url]

3. Повторите лог [B]virusinfo_syscheck.[/B]
28.10.2009, 19:37
GrishGun

все сделал.карантин загрузил,скрип выполнил. В корне диска С лежат файлы sami.exe somi.exe видимо вирусы
28.10.2009, 19:54
GrishGun

полюбому вирусы остались
28.10.2009, 20:03
Никита Соловьев

[B][COLOR="DarkRed"]1. Отключите системное восстановление![/COLOR][/B]
2. Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\servises.exe');
QuarantineFile('C:\WINDOWS\system32\servises.exe','');
DeleteFile('C:\WINDOWS\system32\servises.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','servises');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','servises');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)

Сделайте новые логи
28.10.2009, 21:05
GrishGun

загрузил карантин,выполнил скрипт. Логи:
28.10.2009, 21:24
Никита Соловьев

Что с проблемой?
28.10.2009, 21:25
GrishGun

вроде полет нормальный! Как логи?
28.10.2009, 21:25
Никита Соловьев

Логи чистые. Карантин пришлите
29.10.2009, 18:27
GrishGun

Файл сохранён как 091029_101725_virus_4ae94185d86d8.zip
Размер файла 157592
MD5 550174125408e337f06742aa5a96defc

Компьютер все равно зависает...

[size="1"][color="#666686"][B][I]Добавлено через 8 часов 9 минут[/I][/B][/color][/size]

ну что там с карантином?
29.10.2009, 19:29
Никита Соловьев

[QUOTE]ну что там с карантином?[/QUOTE]
Карантин получен
servises.exe - [B]Trojan.CryptRedol.Gen.2[/B]
18.scr - [B]Packed.Win32.Krap.w[/B]
75.scr - [B]HEUR:Trojan.Win32.Generic[/B]
85.scr - [B]HEUR:Trojan.Win32.Generic[/B]
30.10.2009, 19:29
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\system volume information\_restore{428091c3-faf2-44e1-804f-b22cdbe48681}\rp1\a0001039.exe:ext.exe:$data - [B]Trojan.Win32.Sasfis.smp[/B] ( DrWEB: Trojan.Siggen.11472 )[*] c:\windows\system32\servises.exe - [B]Packed.Win32.Krap.x[/B] ( DrWEB: Trojan.Packed.682, BitDefender: Trojan.CryptRedol.Gen.2, AVAST4: Win32:Bredolab-AQ [Trj] )[*] c:\windows\system32\svchost.exe:ext.exe:$data - [B]Trojan.Win32.Sasfis.smp[/B] ( DrWEB: Trojan.Siggen.11472 )[*] c:\windows\system32\18.scr - [B]Packed.Win32.Krap.w[/B] ( DrWEB: Trojan.Packed.684, BitDefender: Trojan.Generic.2617022, NOD32: Win32/Kryptik.BAK.gen trojan, AVAST4: Win32:Bredolab-AP [Trj] )[*] c:\windows\system32\75.scr - [B]Trojan.Win32.Buzus.ckrz[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, BitDefender: Backdoor.Bot.108461, AVAST4: Win32:Injector-SE [Trj] )[*] c:\windows\system32\85.scr - [B]Trojan.Win32.Buzus.ckrz[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, BitDefender: Backdoor.Bot.108461, AVAST4: Win32:Injector-SE [Trj] )[/LIST][/LIST]