Trojan/Goldan.KL

Printable View

29.12.2006, 22:45
gorvit82

Trojan/Goldan.KL

SpyWare Terminator Находит Trojan/Goldan.KL в файле c:\windows\system32\qz.dll.
При запуске с рабочего стола "мой комп","мои докум" и др, появляется окошко с надписью "Can't load library from memory" c кнопкой ок. Жмешь ок, открывается. И еще небольшие баги.
29.12.2006, 23:14
RiC

АВЗ - "Файл"=>"Выполнить скрипт"
[code]
begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\nltdi.sys','');
QuarantineFile('C:\WINDOWS\system32\OODAGRS.DLL','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\nxsIO32.sys','');
QuarantineFile('C:\WINDOWS\system32\ipv6mons.dll','');
QuarantineFile('C:\WINDOWS\system32\xmm13g.dll','');
QuarantineFile('c:\windows\system32\qz.dll','');
QuarantineFile('c:\windows\system32\wininet.exe','');
DeleteFile('c:\windows\system32\wininet.exe');
DeleteFile('c:\windows\system32\qz.dll');
DeleteFile('C:\WINDOWS\system32\xmm13g.dll');
DeleteFile('C:\WINDOWS\system32\ipv6mons.dll');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите[/url] в HijackThis
[code]
O2 - BHO: (no name) - {73364D99-1240-4dff-B12A-67E448373148} - C:\WINDOWS\system32\ipv6mons.dll
O20 - Winlogon Notify: xmm13g - C:\WINDOWS\SYSTEM32\xmm13g.dll
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - (no file)
[/code]

пришлите всё, что попадёт в карантин к AVZ, как написано в правилах и повторите 2 последних лога из правил.
29.12.2006, 23:49
gorvit82

выполнил
30.12.2006, 01:41
Синауридзе Александр

По-моему, в логах ничего подозрительного не осталось.
30.12.2006, 01:47
RiC

[QUOTE=gorvit82;89476]выполнил[/QUOTE]
В логах больше ничего "интересного" не видно, SpyWare Terminator я бы тоже порекомендовал удалить, вместо него можете поставить AVG Antispyware (бывший Ewido - [url]www.ewido.net[/url], но он платный), Adware, Superantispyware или просто нормальный антивирус.
30.12.2006, 01:53
Синауридзе Александр

[QUOTE=RiC;89498]В логах больше ничего "интересного" не видно, SpyWare Terminator я бы тоже порекомендовал удалить, вместо него можете поставить AVG Antispyware (бывший Ewido - [url]www.ewido.net[/url], но он платный), Adware, Superantispyware или просто нормальный антивирус.[/QUOTE]
Последнее, пожалуй самый лучший вариант.;)
30.12.2006, 12:11
gorvit82

Спасибо Вам большое.
Вроде, баги исчезли.
А антивирус у меня Norton Antivirus2006 стоит, правда с базами от 06.12.2006, и он ничего не находил. В январе все обновлю.
30.12.2006, 12:44
gorvit82

И еще посмотрите, пожалуйста, на наличие вирусной активности логи еще с одного компьютера(брата).
30.12.2006, 14:05
pig

Вроде чисто пока. Только хотелось бы посмотреть первый лог AVZ, который хранится в virusinfo_syscure.zip, - там больше информации и видно маскирующихся.

P.S. Нортон - не антивирус, а видимость. Подтверждено статистикой обращений на форум.
30.12.2006, 15:16
gorvit82

А какой же нормальный антивирус посоветуете?
30.12.2006, 15:53
pig

Ага, были там адвари, но все успешно прибиты. Маскирующихся зловредов не наблюдается. Вот и славно.

Нормальные антивирусы: KAV/KIS, Dr.Web, BitDefender, NOD, VBA. Это без расстановки по приоритетам, вкусы у каждого свои. Качество детектирования у любого как минимум на полпорядка выше, чем у Нортона.
30.12.2006, 19:41
gorvit82

Спасибо
08.01.2007, 23:09
gorvit82

Проверьте, еще раз на наличие активностей.
AdobeReader8 перестал грузиться, RegSupreme вылетает.
странно
09.01.2007, 02:53
pig

Явных зловредов не видно.
AVZ - Файл - Выполнить скрипт:
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Program Files\Multi Password Recovery\HookLib.dll','');
QuarantineFile('C:\WINDOWS\system32\msvcrt52.dll','');
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин.
Попробуйте просканировать систему с помощью CureIt.
11.01.2007, 16:19
gorvit82

Скрипт выполнил. Карантин:

!!!!!!!!!!!!!!!!!
карантин нужно присылать согласно приложени2 павил
11.01.2007, 16:24
gorvit82

И еще я выполнил полный скан системы avz'ом. BitDefender ругается на вирусы:
:\WINDOWS\system32\msvcrt52.exe
infected with BehavesLike:Win32.ExplorerHijack
:\documents and settings\Vitalik\local settings\temporary internet files\Content.IE5\GO88MBLA\ftp_63_w_pr_temp_15[1].exe
infected with BehavesLike:Win32.ExplorerHijack
Посмотрите еще.
11.01.2007, 16:40
Shu_b

У вас каждый раз что то новенькое.... а присланное - Trojan.DownLoader.17083 (DrWeb)

AVZ - файл - выполнить скрипт[CODE]begin
SetAVZGuardStatus(False);
QuarantineFile('C:\WINDOWS\system32\XRegLib.dll','');
QuarantineFile('C:\WINDOWS\system32\sockspy.dll','');
DeleteFile('msvcrt52.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Прислать карантин согласно приложения 2 правил с пункта 5
(ссылка на тему: [url]http://virusinfo.info/showthread.php?t=7327[/url] )
11.01.2007, 20:39
gorvit82

Выполнил, карантин прислал, правильно, на этот раз.
Содержимое папки Quarantine программы avz4 удалять можно?
11.01.2007, 21:10
pig

Можно.
11.01.2007, 21:27
gorvit82

А у меня как там дела с вирусной активностью?
Ничего пока не надо делать?
12.01.2007, 01:20
pig

Ждём результатов исследования последнего карантина.