Printable View
Лечил сначала Касперским, потом AVZ.
На первый взгляд вроде бы всё нормально - exe'шников инфицированных не находит, файлов *.t больше не осталось тоже.
Но есть такое подозрение, что совсем ещё не всё вылечилось.
Один из симптомов - при нажатии ctrl+alt+del появляется сообщение "Диспетчер задач отключен администратором"
Логи в приложении.
Спасибо!
чтобы вернуть на место Диспетчер задач, нужно в AVZ в меню "Файл -> Восстановление системы" поставить галку напротив "Удаление всех Policies..." и нажать "Выполнить отмеченные операции".
для чистки системы:
в программе HijackTHis пофиксить следующие строки:
O1 - Hosts: c.uloec.com
O4 - HKLM\..\Run: [spoolsvv] C:\WINDOWS\system32\spoolsvv.exe
O4 - HKLM\..\Run: [_mzu_stonedrv3] c:\windows\system32\_mzu_stonedrv3.exe
O4 - HKLM\..\Run: [ms] C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\176\gm.exe
O4 - HKLM\..\Run: [Explorer 2238] C:\WINDOWS\system32\dxvwrxjd.exe
O4 - HKLM\..\Run: [UpdateService] C:\WINDOWS\system32\wservice.exe
O4 - HKLM\..\RunServices: [_mzu_stonedrv3] c:\windows\system32\_mzu_stonedrv3.exe
O4 - HKCU\..\Run: [_mzu_stonedrv3] c:\windows\system32\_mzu_stonedrv3.exe
O4 - HKCU\..\Run: [Key] C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\E.tmp
O4 - HKCU\..\Run: [UpdateService] C:\WINDOWS\system32\wservice.exe
O16 - DPF: {33331111-1111-1111-1111-611111193429} - [url]http://www.www2.p0rt2.com/files/_ipsec_.cab[/url]
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
O16 - DPF: {33331111-1234-1111-1111-615111193427} - [url]http://www.www2.p0rt2.com/files/epl56bd.cab[/url]
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll
O20 - Winlogon Notify: ShellServiceObjectDelayLoad - C:\WINDOWS\
O20 - Winlogon Notify: WLogon - srvc.dll (file missing)
O21 - SSODL: DCOM Server 2236 - {2C1CD3D7-86AC-4068-93BC-A02304BB2236} - C:\WINDOWS\system32\geczt.dll (file missing)
O21 - SSODL: DCOM Server 2238 - {2C1CD3D7-86AC-4068-93BC-A02304BB2238} - C:\WINDOWS\system32\dxvwrxjd.exe
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\RGVuaXNvNGth\command.exe (file missing)
O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)
следующие файлы (если найдутся через AVZ) прислать на исследование по правилам форума (предварительно убедитесь, что включено противодействие руткитам в AVZ!):
C:\WINDOWS\system32\spoolsvv.exe
c:\windows\system32\_mzu_stonedrv3.exe
C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\176\gm.exe
C:\WINDOWS\system32\dxvwrxjd.exe
C:\WINDOWS\system32\wservice.exe
C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\E.tmp
C:\WINDOWS\system32\rpcc.dll
C:\WINDOWS\system32\geczt.dll
C:\WINDOWS\RGVuaXNvNGth\command.exe
c:\windows\system32\taskdir.exe
C:\WINDOWS\system32\adir.dll
C:\WINDOWS\system32\daoprint.dll
srvc.dll
C:\WINDOWS\system32\oyethk32.dll
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\svclient.dll
C:\WINDOWS\system32\scnike.dll
C:\WINDOWS\system32\izpromon.dll
C:\Documents and Settings\afterglow\Local Settings\Temp\00000727.tmp
C:\Documents and Settings\afterglow\Local Settings\Temp\00000748.tmp
C:\Documents and Settings\afterglow\Local Settings\Temp\snatch2.exe (вот этот файл нужен в первую очередь)
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\A3KJZOLS\00000753.tmp
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\OZEV21M1\se[1].exe
C:\WINDOWS\system32\se.exe.exe
C:\WINDOWS\system32\vxgame*.exe
после указанных операций - перезагрузить компьютер и сделать новые логи, которые приложить к теме.
Диспатчер вернулся, спасибо! :)
А насчёт всего остального - логи чистые?
[QUOTE=afterglow]Диспатчер вернулся, спасибо! :)
А насчёт всего остального - логи чистые?[/QUOTE]
читайте предыдущее сообщение - я там добавил еще много нового
[quote=MOCT](предварительно убедитесь, что включено противодействие руткитам в AVZ!)[/quote]
Я правильно понял, что для этого нужно проставить галки на всех трёх боксах в разделе RootKit в закладке "Параметры поиска"?
Там на самом деле надо две галки поставить.
В строках:
"Блокировать работу RootKit User-Mode"
и
"Блокировать работу RootKit Kernel-Mode"
HJT пофиксил.
А архив с найденными AVZ файлами слишком большой - 355кб, не влезает в отведённое под вложения место.
Может быть отправить на почту?
[B]Палыч[/B]
Ага, так и сделал уже. Спасибо!
Файлы сюда прикреплять не надо.
В Правилах написано, как надо отправлять запрошенные файлы. Смотри приложения к Правилам.
Oops. Сорри за невнимательность.
Файл отправил.
по присланным файлам: все прияланное - трояны. нужно удалять через отложенное удаление в AVZ.
C:\WINDOWS\system32\rpcc.dll - SpamBot
C:\WINDOWS\system32\dxvwrxjd.exe - троян
C:\WINDOWS\system32\adir.dll - Email-Worm.Win32.Banwarum.f (Касперский)
c:\windows\system32\taskdir.exe - недетектируемый кусок червя Banwarum, по совместительству Trojan.SpamBot (DrWeb)
C:\WINDOWS\system32\vxgame1.exe - Trojan-Proxy.Win32.Xorpix.au (внутри - разновидность .at) (Касперский)
C:\WINDOWS\system32\vxgame3.exe - троян-дроппер Trojan-Downloader.Win32.Small.coy (Касперский)
C:\WINDOWS\system32\vxgame4.exe - троян-дроппер Trojan-Downloader.Win32.Small.dzd (Касперский)
C:\Documents and Settings\afterglow\Local Settings\Temp\00000727.tmp
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\A3KJZOLS\00000753.tmp
C:\Documents and Settings\afterglow\Local Settings\Temp\snatch2.exe
эти три файла одинаковые Trojan-Spy.Win32.Goldun.ms (Касперский)
C:\WINDOWS\system32\se.exe.exe
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\OZEV21M1\se[1].exe
эти два файла одинаковые, недетектируемые трояны для скачивания других троянов.
ждем логи сделанные после чистки заразы
Новые логи
уже гораздо лучше, осталось несколько хвостов.
пофиксить с помощью HijackThis:
O4 - HKCU\..\Run: [_mzu_stonedrv3] c:\windows\system32\_mzu_stonedrv3.exe
O4 - HKCU\..\Run: [taskdir] C:\WINDOWS\system32\taskdir.exe
O16 - DPF: {FAB8A8E6-219A-4C0A-AD91-BF4AB3947D6B} (SingleClient Class) - file://C:\DOCUME~1\AFTERG~1\LOCALS~1\Temp\aChat\achat_default-3.3.1.0.cab
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll (file missing)
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\RGVuaXNvNGth\command.exe (file missing)
из "Менеджера расширений проводника" в AVZ удалить строки с упоминанием следующих файлов:
C:\WINDOWS\system32\oyethk32.dll
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\svclient.dll
C:\WINDOWS\system32\scnike.dll
C:\WINDOWS\system32\izpromon.dll
из "Менеджера файла Hosts" в AVZ удалить все строки, кроме строки
127.0.0.1 localhost
удалить все файлы вида:
C:\Documents and Settings\afterglow\Local Settings\Temporary Internet Files\Content.IE5\A3KJZOLS\000007*.tmp
после этого перезагрузиться, сделать новые логи и прикрепить их к теме.
Ещё раз логи
В диспетчере служб и драйверов AVZ удалите строки ссылающиеся на файл C:\WINDOWS\RGVuaXNvNGth\command.exe
Что-то не нравится мне что у Вас каждый раз лечатся одни и те же архивы... Да и строки от Look2Me из реестра так и не удалились:
C:\WINDOWS\system32\oyethk32.dll
C:\WINDOWS\system32\guard.tmp
C:\WINDOWS\system32\svclient.dll
C:\WINDOWS\system32\scnike.dll
C:\WINDOWS\system32\izpromon.dll
а симптомы заражения какие-нибудь остались?
Строку, ссылавшуюся на файл С:\WINDOWS\RGVuaXNvNGth\command.exe убрал
А строки от Look2ME вообще удаляться оттуда не хотят - с них можно только галки убрать.
Видимых симптомов заражения не осталось, кроме 16килобайтных файлов *.exe в архивах *.rar.
Все *.exe, инфицированные Glowa, почистил из найденных AVZ архивов вручную, логи сделал уже после этого.
все выглядит чистым
Несмотря на это - Касперский опять находит вирусы :(
Сразу нашёл
С:\WINDOWS\system32\taskdir~.exe
и
C:\WINDOWS\system32\se.exe.exe
Дальше я его гонять не стал.
Всё-таки где-то что-то осталось?
вряд ли. видимо это резервные копии заразы, из которых они должны были восстанавливаться или распространяться. эти файлы можно спокойно удалить.
Отлично! Спасибо огромное! :)
Несмотря на чистые логи - KAV всё равно находит в файлах *.rar (теперь уже других, нежели в предыдущих логах AVZ) иницированные Glowa exe-шники, и карантинит их. Сам же AVZ уже не находит никаких хвостов Glowa, насколько я понял.
Что ещё можно сделать? :?
Логи тут
возможен вариант, что заражение архивов было давным-давно, просто та версия все никак не могла добраться до антивирусных компаний. пришлите нам образец файла из числа тех, что стал детектировать антивирус.
Архив с инфицированным Glowa файлом - в аттаче.
Пароль: virus
уже детектируется многими антивирусами, например:
Antivirus Version Update Result
AntiVir 7.2.0.39 11.15.2006 TR/Crypt.F.Gen
Authentium 4.93.8 11.15.2006 W32/Tagen.A
Avast 4.7.892.0 11.15.2006 no virus found
AVG 386 11.15.2006 Downloader.Tibs
BitDefender 7.2 11.15.2006 Worm.Glowa.M
CAT-QuickHeal 8.00 11.15.2006 no virus found
ClamAV devel-20060426 11.15.2006 W32.Dref
DrWeb 4.33 11.15.2006 Win32.Dref
eTrust-InoculateIT 23.73.56 11.15.2006 no virus found
eTrust-Vet 30.3.3194 11.15.2006 Win32/Luder.E
А какой может быть причина, что этот червь в составе других архивов через AVZ находился, а сейчас - нет, хотя инфецированные файлы остались?
вариант 1 - разные модификации червя
вериант 2 - разные версии архивов (rar 2.0, rar 3.0)
То есть в любом случае осталось только удалить эти файлы физически, а сами они прописываться уже никуда не будут? (извиняюсь за корявую терминологию :) )
думаю что именно так. главное не запустить новые вирусы пока лечатся старые ;)
Оки, постараюсь! ;)
Ещё раз большое спасибо!
Файл сохранён как 061115_224333_virus_455bde658915b.rar
Размер файла 15076
MD5 ecac407e01e58c626bbe896187ad7bdd