File Dowloader блокирует доступ к сети

Printable View

11.12.2009, 17:41
Зубастик

File Dowloader блокирует доступ к сети

появился банер File Downloader заблокировал доступ к сети и интернету, требуется скинуть смс на номер 1350
11.12.2009, 17:44
snifer67

Вложений: 1

Запустите утилиту в аттаче get.zip,ПК перезагрузится. Повторите логи.
11.12.2009, 18:27
Зубастик

Сделал, вот новые логи
11.12.2009, 19:02
snifer67

[B]avz-avz Guard-включить avz Guard[/B]

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\xXx\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
DeleteFile('C:\Documents and Settings\xXx\Главное меню\Программы\Автозагрузка\siszyd32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
11.12.2009, 19:47
Зубастик

Сделал,банер не исчез, вот новые логи
11.12.2009, 20:23
snifer67

Выполните скрипт в avz
[code]begin
SetAVZPMStatus(True);
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Сделайте новые логи.
11.12.2009, 20:59
Зубастик

Банер не пропадает, вот логи
11.12.2009, 21:33
snifer67

Отключите avz Guard

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys','');
QuarantineFile('\??\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys');
DeleteFile('\??\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
11.12.2009, 22:07
Зубастик

логи, банер попрежнему висит
11.12.2009, 22:34
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\b48dadf8.sys','');
QuarantineFile('\??\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys');
DeleteFile('\??\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys');
DeleteFile('C:\WINDOWS\system32\drivers\b48dadf8.sys');
QuarantineFile('C:\WINDOWS\system32\winsrv.exe','');
DeleteFile('C:\WINDOWS\system32\winsrv.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
12.12.2009, 09:24
Зубастик

карантин за 12-12-2009 пуст, карантин за 11-12-2009 не высылается пишет, что файл уже загружен. банер все еще висит.
12.12.2009, 14:02
Зубастик

жду ответа
12.12.2009, 14:06
snifer67

Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('aekgoprn.dll','');
DeleteFile('aekgoprn.dll');
QuarantineFile('b48dadf8.sys','');
DeleteFile('b48dadf8.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пролечитесь [url]http://support.kaspersky.ru/downloads/utils/tdsskiller.zip[/url]

Сделайте новые логи.
12.12.2009, 14:45
Зубастик

Карантин пуст, утилита ничего не нашла, вот логи
12.12.2009, 14:47
snifer67

Сделайте еще такие логи:
[url]http://virusinfo.info/showthread.php?t=40118[/url] [url]http://virusinfo.info/showthread.php?t=53070[/url]
12.12.2009, 15:49
Зубастик

Сканирование смог сделать только MBAM, Gmer вылетает после сразу после автосканирования
12.12.2009, 15:51
snifer67

Удалите в [url=http://virusinfo.info/showpost.php?p=493584&postcount=2]mbam [/url]
[code]
Заражено ключей реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe (Trojan.Agent) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{8e8e8f8a-8fcc-88ce-bcb8-b8fd8e88888a} (Malware.Packer) -> No action taken.

Заражено значений реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\windows sarby (Malware.Trace) -> No action taken.

[/code]
Сделаете новый лог mbam

Сделайте еще такой лог [url]http://virusinfo.info/showthread.php?t=58309[/url]
12.12.2009, 17:47
Зубастик

вот новые логи
12.12.2009, 17:52
snifer67

Вложений: 1

1. запустить программку, что в аттаче. ПК будет перезагружен.
2. удалить в %systemroot%\system32\drivers\swenum.sys и убедиться, что WFP восстановила файл. Если файл не восстановился по какой-либо причине - скопировать его с другого ПК на место удаленного.
12.12.2009, 18:07
Зубастик

Банер пропал, сеть заработала. Спасибо за помощь!!!
12.12.2009, 21:36
thyrex

Логи новые сделайте
13.12.2009, 21:36
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\xxx\главное меню\программы\автозагрузка\siszyd32.exe - [B]Trojan-Dropper.Win32.Agent.bjjy[/B] ( DrWEB: Trojan.MulDrop.52386, NOD32: Win32/TrojanDownloader.Bredolab.BE trojan, AVAST4: Win32:Small-NDN [Trj] )[/LIST][/LIST]