После проверки вновь обнаружил AppInit_DLL [Trojan-Ransom.Win32.Cidox.gen ]

Printable View

01.01.2010, 18:29
olegterra

После проверки вновь обнаружил AppInit_DLL [Trojan-Ransom.Win32.Cidox.gen ]

С Новым Годом, друзья!
В новогоднюю ночь решил окончательно избавиться от вредоносных программ на своем компьютере.
Выполнил все проверки на основе Ваших Правил (предварительно скачав необходимые утилиты с Вашего ресурса).
В ходе проверки были найдены несколько вредоносных файлов: удалил/лечил.
Перегрузил машину раза два, проверив работоспособность ранее установленных программ. Все работала как надо. Однако, решив проверить реестр на наличие библиотеки AppInit_DLL вновь, к сожалению, обнаружил ее по адресу: HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS NT\CurentVersion\Windows.
Стало быть, на компьютере по-прежнему существует "троян" или "червь"!!! (хотя базы все обновлены у KIS 9.0.0.736, у avz4, у AVPTool).
Что делать, подскажите, пожалуйста!
Всех с Новым Годом! Удачи! Исполнения Желаний! :xmas:
01.01.2010, 18:41
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
DelBHO('{3FC0460E-A9D3-40C2-878B-CFA16C6E1262}');
DelBHO('{E908B145-C847-4e85-B315-07E2E70DECF8}');
DelBHO('{CF272101-7F6E-4CF2-9453-B4C5D2FC32C0}');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\srtrorou.sys','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите файл quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=65666[/url]

4. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]O17 - HKLM\System\CCS\Services\Tcpip\..\{075B4A4A-712D-4F1B-B1A9-8F7C5A971D28}: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CCS\Services\Tcpip\..\{2A2B975B-DBA0-48C7-9DB3-ACAAE86446AD}: NameServer = 85.255.115.75,85.255.112.109
O17 - HKLM\System\CCS\Services\Tcpip\..\{4CC1681F-1A73-4850-A573-635C3658C478}: NameServer = 208.67.222.222,208.67.220.220,85.255.115.75,85.255.112.109
O17 - HKLM\System\CCS\Services\Tcpip\..\{EEBF4C65-2BDA-4C9D-BB7D-C65D72898CF3}: NameServer = 85.255.115.75,85.255.112.109
O17 - HKLM\System\CCS\Services\Tcpip\..\{F5316B85-A537-47CC-85A0-8B8FECE81BF4}: NameServer = 85.255.115.75,85.255.112.109
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS4\Services\Tcpip\Parameters: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS5\Services\Tcpip\Parameters: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS6\Services\Tcpip\Parameters: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS6\Services\Tcpip\..\{075B4A4A-712D-4F1B-B1A9-8F7C5A971D28}: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS7\Services\Tcpip\Parameters: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.75 85.255.112.109
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\[/QUOTE]

5. Повторите логи.
01.01.2010, 21:18
olegterra

Спасибо, Александра, за скорый ответ и поздравления!

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 14 минут[/I][/B][/color][/size]

Сделал все, как Вы рекомендовали.
Стоит ли мне выслать Вам новые архивы с логами?
После сканирования HiJackThis в логе обнаружил ключи, которые удалял, именно:

"O17 - HKLM\System\CCS\Services\Tcpip\..\{075B4A4A-712D-4F1B-B1A9-8F7C5A971D28}: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS6\Services\Tcpip\..\{075B4A4A-712D-4F1B-B1A9-8F7C5A971D28}: NameServer = 85.255.115.75 85.255.112.109".

Что теперь делать?
01.01.2010, 21:21
Aleksandra

Все по пунктам. Прислать карантин (если туда что-то попало) и сделать повторные логи.
01.01.2010, 21:37
olegterra

Высылаю. На съемном диске К опять что-то нашлось, хотя я его проверял Касперским и уже уничтожал найденное.:rolleyes:
01.01.2010, 21:57
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
SetAVZGuardStatus(True);
DeleteService('srtrorou');
DeleteFile('C:\WINDOWS\system32\drivers\srtrorou.sys');
DeleteFile('K:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]O17 - HKLM\System\CCS\Services\Tcpip\..\{075B4A4A-712D-4F1B-B1A9-8F7C5A971D28}: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS6\Services\Tcpip\..\{075B4A4A-712D-4F1B-B1A9-8F7C5A971D28}: NameServer = 85.255.115.75 85.255.112.109[/QUOTE]

4. Сделайте новые логи (только п.2 и 3 раздела Диагностика).
01.01.2010, 22:37
olegterra

Сделано.
01.01.2010, 23:18
olegterra

В реестре снова обнаружил appinit_dll...
???
01.01.2010, 23:27
Aleksandra

Выполните [url]http://virusinfo.info/showthread.php?t=3519[/url]

[QUOTE=olegterra;550262]В реестре снова обнаружил appinit_dll...
???[/QUOTE]
Этот?

[QUOTE]Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll[/QUOTE]
01.01.2010, 23:50
olegterra

К сожалению, не отследил этого. Просто нашел в реестре и удалил.
01.01.2010, 23:54
Aleksandra

Это от Касперского и он не удалится. :)
01.01.2010, 23:59
olegterra

:blink: !!! И что делать?.. Деинсталлировать Касперского или пересаживать систему?
02.01.2010, 00:44
Aleksandra

Это нормально и ничего делать не нужно. Вы загрузили архив?
02.01.2010, 00:53
olegterra

Да, загрузил.
02.01.2010, 00:57
Aleksandra

Имя у архива какое?
02.01.2010, 01:02
olegterra

virusinfo_files_MASTER-YC6F7I3T.zip
02.01.2010, 01:07
Aleksandra

В логах активного заражения не увидела. Что с проблемами?

[QUOTE=olegterra;550308]virusinfo_files_MASTER-YC6F7I3T.zip[/QUOTE]
Ответ [url]http://virusinfo.info/showpost.php?p=550291&postcount=4985[/url]
02.01.2010, 01:22
olegterra

Вероятно, проблема из активной временно перешла в категорию скрытой. Я так понимаю, что проблема таится в самом Касперском (в одном из его файлов)?
Проверил реестр (appinit_dll пока нет).
08.01.2010, 22:56
olegterra

Касперский 2010 перестал обновляться вскоре после лечения. Пересаживал его два раза, восстанавливал. Ничего не могу поделать. Пишет следующее: 08.01.10 19:12:13 Ошибка при подключении к источнику обновлений [url]ftp://downloads1.kaspersky-labs.com:21/[/url] и по остальным адресам тоже самое. Что предпринять?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Из строки Оперы ввожу адрес базы, страница оказывается недоступной. Хотя я знаю точно люди из соседней квартиры успешно обновляют своего Касперского в автоматическом режиме с тех же баз.
09.01.2010, 18:03
Aleksandra

Сделайте еще раз полный комплет логов по [URL="http://virusinfo.info/pravila.html"]правилам.[/URL]
09.01.2010, 19:05
PavelA

Проверь ключ:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Safer\CodeIdentifiers\0\Paths
Если есть упоминание Касперского удали.
09.01.2010, 19:14
Aleksandra

[QUOTE=PavelA;556094]Проверь ключ:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Safer\CodeIdentifiers\0\Paths
Если есть упоминание Касперского удали.[/QUOTE]
Тогда уже лучше сделать отчет GSI [url]http://support.kaspersky.ru/faq/?qid=180593373[/url]
09.01.2010, 22:09
olegterra

Выполнил логи, долго не хотели загружаться.:rolleyes:
09.01.2010, 22:11
olegterra

Высылаю отчет GSI
09.01.2010, 22:22
olegterra

Проверил ключ, как рекомендовал Павел:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Safer\CodeIdentifiers\0\Paths
Такого ключа не нашлось.
09.01.2010, 22:33
Aleksandra

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]O17 - HKLM\System\CCS\Services\Tcpip\..\{075B4A4A-712D-4F1B-B1A9-8F7C5A971D28}: NameServer = 85.255.115.75 85.255.112.109
O17 - HKLM\System\CS6\Services\Tcpip\..\{075B4A4A-712D-4F1B-B1A9-8F7C5A971D28}: NameServer = 85.255.115.75 85.255.112.109[/QUOTE]

Такой лог сделайте [url]http://virusinfo.info/showthread.php?t=40118[/url]
09.01.2010, 22:44
olegterra

Профиксил.
Однако, Gmer. скачал, но он выглядит как-то странно, посмотрите, это нормально:
0ym7jc4q.htm
Разве это не архив?
09.01.2010, 22:50
Aleksandra

[QUOTE=olegterra;556323]Профиксил.[/QUOTE]
Сразу повторите лог HijackThis.

[QUOTE=olegterra;556323]Однако, Gmer. скачал, но он выглядит как-то странно, посмотрите, это нормально:
0ym7jc4q.htm
Разве это не архив?[/QUOTE]
Нет, переименуйте на расширение exe.
09.01.2010, 22:55
olegterra

Повторный лог.
09.01.2010, 23:00
Aleksandra

Чисто... Не поняла, почему сразу не пофиксили? Я выше Вам об этом писала. Теперь сделайте лог Gmer.
10.01.2010, 14:35
olegterra

Gmer проверял всю ночь, а к обеду 10 янв. выдал, что не может сохранить данные: не хватает системных ресурсов. До этого тоже завешивал всю систему. Запомнил последнюю строчку в отчете, запустил повторно после принудительной перезагрузки системы, дождался вновь той же строчки и остановил проверку. Отчет сохранил и прилагаю его.
11.01.2010, 08:01
Aleksandra

Лог ничего не показал. Перечислите проблемы, которые имеются на данный момент.
12.01.2010, 08:01
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]