вирусы Autoruner,Trojan.Downloader,Trojan.Packed.154 и др

Printable View

13.04.2010, 17:32
Viande

вирусы Autoruner,Trojan.Downloader,Trojan.Packed.154 и др

Здравствуйте. Столкнулись с такой проблемой:
при выходе в интернет антивирус доктор веб стал кидать сообщения о том что нашел вирусы:
в папке \Temporary Internet Files\Content.IE5\YJE70V4Z\9[1]
(Название папки YJE70V4Z меняется) с вирусом Trojan.Packed.154

в папке \LocalSettings\temp\tmp003.exe находит тот же вирус
в папке \System32\Wmicvrts.exe находит вирус Win32.HLLW.Autoruner.17477
в папке \System32\CtDrvDmt.exe находит вирус Backdoor.Irc.Bot.283

выскакивают сообщения об ошибках в программах
CtDrvMkb.exe и других

при загрузке виндовс пишет что не может найти файл csrcs.exe

При запуске программы norton commander она через несколько секунд вылетает

Запустив проверку Доктор вебом доходит до определенного момента и зависает

Пробовали провести проверку avptools через безопасный режим (который пришлось восстанавливать и восстановился только с помощью программы SUPERAntiSpyware (восстановление реестра не помогало))
проверку выполнели вирусы удалились, но потом при входе в интернет (модемом скайлинк) началось все тоже самое.
Теперь безопасный режим уже разблокировать не удается.
(Проверка через Live CD касперского(база правда не обновленная) ничего не дала)

Программу AVZ удалось запустить только после ее переименования(логи прикреплены)

Программу HijackThis* удалось установить также только после переименования, однако когда ее запустили появилось сообщение о том что система завершает работу и отсчет секунд до завершения(компьютер выключился) поэтому лог от нее получить не удается.

Зайти на данный форум не получается с зараженного компьютера, поэтому логи пришлось отправлять через почту на другой компьютер и с него уже сюда.

Заранее спасибо за помощь:)
13.04.2010, 17:59
polword

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\wmicvrts.exe');
TerminateProcessByName('c:\windows\system32\ctdrvmkb.exe');
QuarantineFile('C:\System Volume Information\_restore{C2052A56-72F5-42FC-AB0E-B9997A0E3343}\RP380\A0063231.msi','');
QuarantineFile('Explorer.exe csrcs.exe','');
QuarantineFile('C:\WINDOWS\system32\incognito.exe','');
QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
QuarantineFile('C:\WINDOWS\AdobeR.exe','');
QuarantineFile('C:\Documents and Settings\В Решетников\mmryx.exe','');
QuarantineFile('c:\windows\system32\wmicvrts.exe','');
QuarantineFile('c:\windows\system32\ctdrvmkb.exe','');
DeleteFile('c:\windows\system32\ctdrvmkb.exe');
DeleteFile('c:\windows\system32\wmicvrts.exe');
DeleteFile('C:\Documents and Settings\В Решетников\mmryx.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
DeleteFile('C:\WINDOWS\system32\csrcs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
DeleteFile('C:\WINDOWS\system32\incognito.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','incognito');
DeleteFile('Explorer.exe csrcs.exe');
DeleteFile('C:\System Volume Information\_restore{C2052A56-72F5-42FC-AB0E-B9997A0E3343}\RP380\A0063231.msi');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(9);
ExecuteRepair(16);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
BC_DeleteFile('c:\windows\system32\ctdrvmkb.exe');
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
13.04.2010, 18:59
Viande

[B][SIZE=2][/SIZE] [/B]

[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]100413_184907_quarantine_4bc484635104f.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]8166360[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]e280d0244f61780504020f8453e53fb5[/SIZE]

Во время проверки hijackthis несколько раз вылетал и вылезала ошибка DrvSvcMgr.exe,
также выдал сообщение:

You have an particularly large amount of hijacked domains. It's probably better to delete the file itself then to fix each item(and create a backup)
If you see the same IP address in all the reported O1 items, consider deleting your Hosts file which is located at
C:\windows\System32\drivers\etc\hosts

(при создании логов (когда требуется вход в интернет) все программы кроме easywirelessnet(т.к. с помощью нее интеренет работает скайлинк) и интернет эксплорер были закрыты))
а может быть заражен сам модем скайлинк?
13.04.2010, 19:38
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\AdobeR.exe','');
QuarantineFile('C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe','');
QuarantineFile('C:\Documents and Settings\В Решетников\iaupnhy.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\ailvlhns.sys','');
TerminateProcessByName('c:\windows\system32\qxzv2.exe');
QuarantineFile('c:\windows\system32\qxzv2.exe','');
DeleteFile('c:\windows\system32\qxzv2.exe');
DeleteFile('C:\Documents and Settings\В Решетников\iaupnhy.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
DeleteFile('C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Internet Connec-tion Wizard Setup Tool');
DeleteFile('C:\WINDOWS\AdobeR.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','RavAV');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(13);
RebootWindows(true);
end. [/code]Компьютер перезагрузится

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B]Обновите базы AVZ[/B]
Сделайте новые логи
14.04.2010, 10:47
Viande

Поставил обновленный AVZ(обновлял с другого компьютера)

HijackThis снова вылетала, после перестановки выдала лог и компьютер сновы выдал сообщение что система завершает работу.

карантин отправил
Файл сохранён как 100414_104758_virus_4bc5651e7f475.zip
Размер файла 2948
MD5 28a722361bbd769dcbfe9022c8f4d1ee
14.04.2010, 11:14
Шапельский Александр

Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\ailvlhns.sys','');
QuarantineFile('c:\windows\system32\drvsvcmgd.exe','');
TerminateProcessByName('c:\windows\system32\drvsvcmgd.exe');
DeleteFile('c:\windows\system32\drvsvcmgd.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(9);
Executerepair(13);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
14.04.2010, 11:57
Viande

[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]100414_115552_virus_4bc57508a63fe.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]2390082[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]826bc53dff0a9c863ba5ca42d48d99bd[/SIZE]

вот):)

и еще сейчас выдало Generic Host Process for Win32 Services обнаружена ошибка, приложение будет закрыто.
14.04.2010, 12:34
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(1);
Executerepair(7);
Executerepair(9);
RebootWindows(true);
end.[/CODE]
Сделайте лог MBAM
14.04.2010, 14:14
Viande

готово)
14.04.2010, 14:47
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\S9AZG9QR\qv2[1].zip ','');
QuarantineFile('C:\System Volume Information\_restore{C2052A56-72F5-42FC-AB0E-B9997A0E3343}\RP403\A0068911.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ndisvvan.sys','');
QuarantineFile('C:\WINDOWS\system32\secupdat.dat','');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\S9AZG9QR\qv2[1].zip ');
DeleteFile('C:\System Volume Information\_restore{C2052A56-72F5-42FC-AB0E-B9997A0E3343}\RP403\A0068911.exe');
DeleteFile('C:\WINDOWS\system32\secupdat.dat');
DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

- удалите в MBAM
[CODE]
Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\conime.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DbgMgr (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ctfmon.exe (Security.Hijack) -> No action taken.

Зараженные файлы:
D:\ПРОГР_воров\Фунд 11,3\Lav_BaseSoft_keygen.exe (Malware.Packer) -> No action taken.
C:\Documents and Settings\All Users\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\Default User\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\LocalService\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\NetworkService\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\T¦+++T~1\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\Администратор\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\В Решетников\secupdat.dat (Worm.Autorun) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\secupdat.dat (Worm.Autorun) -> No action taken.
[/CODE]

- Сделайте повторный лог MBAM
14.04.2010, 17:05
Viande

[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]100414_170350_quarantine_4bc5bd366e166.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]2531[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]ea7b18b24c6c7f46162a5b49d2c58dca[/SIZE]

сделано)
14.04.2010, 17:11
Шапельский Александр

Удалите в MBAM
[CODE]Зараженные файлы:
C:\WINDOWS\system32\Drivers\ndisvvan.sys (Rootkit.Agent) -> No action taken.
C:\WINDOWS\system32\secupdat.dat (Backdoor.Bot) -> No action taken.
C:\Documents and Settings\All Users\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\Default User\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\LocalService\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\NetworkService\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\T¦+++T~1\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\Администратор\secupdat.dat (Worm.Autorun) -> No action taken.
C:\Documents and Settings\В Решетников\secupdat.dat (Worm.Autorun) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\secupdat.dat (Worm.Autorun) -> No action taken.[/CODE]Сделайте новый лог MBAM
14.04.2010, 17:51
Viande

При нажатии удалить, программа пишет что некоторые файлы удалить невозможно и треуется перезагрузка.
14.04.2010, 21:02
thyrex

Скачайте [url="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]"OSAM" (Online Solutions Autorun Manager)[/url].

Лог работы утилиты прикрепите к своему сообщению
15.04.2010, 10:12
Viande

лог html поэтому добавил в архив
15.04.2010, 11:42
thyrex

Запустите OSAM

В меню драйверов правой кнопкой по [B]ailvlhns[/B] и выберите "Turn Run Off". Перезагрузку подтвердите.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\ailvlhns.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\ailvlhns.sys');
QuarantineFile('C:\WINDOWS\system32\config\systemprofile\secupdat.dat','');
QuarantineFile('C:\Documents and Settings\В Решетников\secupdat.dat','');
QuarantineFile('C:\Documents and Settings\Администратор\secupdat.dat','');
QuarantineFile('C:\Documents and Settings\T¦+++T~1\secupdat.dat','');
QuarantineFile('C:\Documents and Settings\NetworkService\secupdat.dat','');
QuarantineFile('C:\Documents and Settings\LocalService\secupdat.dat','');
QuarantineFile('C:\Documents and Settings\Default User\secupdat.dat','');
QuarantineFile('C:\Documents and Settings\All Users\secupdat.dat','');
QuarantineFile('C:\WINDOWS\system32\secupdat.dat','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ndisvvan.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\ndisvvan.sys');
DeleteFile('C:\WINDOWS\system32\secupdat.dat');
DeleteFile('C:\Documents and Settings\All Users\secupdat.dat');
DeleteFile('C:\Documents and Settings\Default User\secupdat.dat');
DeleteFile('C:\Documents and Settings\LocalService\secupdat.dat');
DeleteFile('C:\Documents and Settings\NetworkService\secupdat.dat');
DeleteFile('C:\Documents and Settings\T¦+++T~1\secupdat.dat');
DeleteFile('C:\Documents and Settings\Администратор\secupdat.dat');
DeleteFile('C:\Documents and Settings\В Решетников\secupdat.dat');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\secupdat.dat');
DeleteService('ailvlhns');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('ailvlhns');
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
15.04.2010, 12:28
Viande

[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]100415_122749_virus_4bc6ce059f0c8.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]24630[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]9b28d99a56e30240cee1fb7d80d28a79[/SIZE]

сделано)
15.04.2010, 13:12
thyrex

Что сейчас с проблемой?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\02.scr','');
DeleteFile('C:\WINDOWS\system32\02.scr');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
15.04.2010, 13:48
Viande

[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]100415_134357_virus_4bc6dfddc63e0.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]55314[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]f2c475dcc2e0d3f003f4ba6e431c1702[/SIZE]

Все вроде работает!! правда при перезагрузке после выполнения скрипта выдало ошибку в каком то exe файле и перезагрузилось.
:) спасибо огромное!
15.04.2010, 14:02
polword

В логах чисто.

Осталось обновить систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- поставте [URL="http://www.adobe.com/go/EN_UK-H-GET-READER"]Adobe Reader 9.3[/URL].
16.04.2010, 14:02
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]87[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\ctdrvmkb.exe - [B]Net-Worm.Win32.Kolab.hpq[/B] ( BitDefender: Backdoor.IRCBot.ACYJ, AVAST4: Win32:Flot-E [Trj] )[*] c:\windows\system32\drivers\ailvlhns.sys - [B]Rootkit.Win32.Pakes.zo[/B] ( DrWEB: Trojan.Siggen.18257, BitDefender: Backdoor.Tofsee.Gen, NOD32: Win32/TrojanDownloader.Genome.CLU trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\drvsvcmgd.exe - [B]Backdoor.Win32.EggDrop.apn[/B] ( BitDefender: Trojan.Delf.Inject.BW, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\wmicvrts.exe - [B]Net-Worm.Win32.Kolab.hql[/B] ( DrWEB: Win32.HLLW.Autoruner.17477, BitDefender: Win32.Worm.Kolab.AW, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\02.scr - [B]Trojan.Win32.Buzus.dsdg[/B] ( DrWEB: Win32.HLLW.Autoruner.17477 )[/LIST][/LIST]