Троян - появляется после перезагрузки

Printable View

24.04.2010, 01:11
Natatula

Троян - появляется после перезагрузки

Касперский находит трояна и успешно его удаляет, но после перезагрузки троян оказывается вновь в системе.
При загрузке компа появляется предупреждение Касперского о заблокированной попытке svchosts соединения с фишинговым сайтом anabalikss.com
Так же заблокирован доступ к некоторым сайтам в интернете в частности к virusinfo.info, virustotal.com. Вход на эти сайты возможен только через прокси.

логи прикрепляю.
24.04.2010, 01:31
thyrex

Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\14784fbc.exe,C:\WINDOWS\system32\bc45edd0.exe,\\?\globalroot\systemroot\system32\lcddfKv.exe,[/CODE]

Скачайте полиморфный AVZ (ссылка в моей подписи)

Выполните скрипт в [B]полиморфном[/B] AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\bc45edd0.exe','');
QuarantineFile('C:\WINDOWS\system32\14784fbc.exe','');
QuarantineFile('c:\program files\wnet\fjvozfv.exe','');
DeleteFile('C:\WINDOWS\system32\14784fbc.exe');
DeleteFile('C:\WINDOWS\system32\bc45edd0.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
24.04.2010, 14:44
Natatula

Инструкция выполнена.

Карантин загружен:
Файл сохранён как 100424_144056_virus_4bd2cab8a0713.zip
Размер файла 1975241
MD5 43711815405d4e528af56c06fe320a53

Что дальше?
24.04.2010, 15:02
Natatula

Сорри. Забыла прикрепить новые логи.
Вот они.
24.04.2010, 20:44
thyrex

Папка C:\Program Files\wnet и ее содержимое Вам известны?
25.04.2010, 19:32
Natatula

[QUOTE=thyrex;627358]Папка C:\Program Files\wnet и ее содержимое Вам известны?[/QUOTE]
папка не известна - в проводнике я ее не вижу (показ скрытых/системных файлов разрешен).
Предупреждение Касперского о заблокированной попытке svchosts соединения с фишинговым сайтом anabalikss.com так и осталось.
26.04.2010, 11:34
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\program files\wnet\fjvozfv.exe');
QuarantineFile('c:\program files\wnet\fjvozfv.exe','');
DeleteFile('c:\program files\wnet\fjvozfv.exe');
DeleteFileMask('c:\program files\wnet', '*.*', true);
DeleteDirectory('c:\program files\wnet');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
28.04.2010, 23:41
Natatula

Новые логи
28.04.2010, 23:44
Natatula

Карантин загружен
Файл сохранён как100428_234313_virus_4bd88fd1abaeb.zip
Размер файла626957
MD53dc8fb0a0ee1632325cf1f91584370dd
28.04.2010, 23:53
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\c3412a42.exe','');
QuarantineFile('C:\WINDOWS\system32\220ef5b0.exe','');
DeleteFile('C:\WINDOWS\system32\220ef5b0.exe');
DeleteFile('C:\WINDOWS\system32\c3412a42.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
29.04.2010, 22:12
Natatula

новые логи
29.04.2010, 22:28
Natatula

карантин закачен

Файл сохранён как100429_221240_virus_4bd9cc18cd061.zip
Размер файла626958
MD53e0bc6b350ff75b2569a383edefa18ac

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

После всех проведенных лечений забастовал Касперский - теперь полная проверка на вирусы занимает пару секунд с результатом, что все ок.
29.04.2010, 22:39
thyrex

Сделайте лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]
30.04.2010, 00:04
Natatula

[QUOTE=thyrex;629999]Сделайте лог [URL]http://virusinfo.info/showpost.php?p=457118&postcount=1[/URL][/QUOTE]
прикладываю лог
30.04.2010, 00:33
thyrex

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.[/CODE]
30.04.2010, 01:22
Natatula

удаление, указанных файлов прошло успешно. Сделала новые логи. Касперский при полной проверке на вирусы завершает работу через 2-3 секунды и сообщает, что все ок.
30.04.2010, 08:45
thyrex

Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
30.04.2010, 23:43
Natatula

[QUOTE=thyrex;630098]Такой лог сделайте [URL]http://virusinfo.info/showpost.php?p=493610&postcount=1[/URL][/QUOTE]
выполнено.
лог прикладываю
30.04.2010, 23:57
thyrex

Выполните скрипт в AVZ
[code]begin
QuarantineFile('c:\windows\system32\EXPAPth.exe','');
QuarantineFile('c:\windows\system32\IyrC6Li.exe','');
QuarantineFile('c:\windows\system32\MM6F7Yo.exe','');
end. [/code]

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
01.05.2010, 00:29
Natatula

карантин закачен
Файл сохранён как100501_002835_virus_4bdb3d7349640.zip

Размер файла222706

MD59ec2ed3665acdeec1d83d243bba8b1d4
01.05.2010, 00:50
thyrex

Выполните скрипт в AVZ
[code]begin
DeleteFile('c:\windows\system32\EXPAPth.exe');
DeleteFile('c:\windows\system32\IyrC6Li.exe');
DeleteFile('c:\windows\system32\MM6F7Yo.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новый лог ComboFix
01.05.2010, 13:50
Natatula

[QUOTE=thyrex;630486]Сделайте новый лог ComboFix[/QUOTE]

Новый лог прикладываю......

Но как мне кажется - я борюсь с ветряными мельницами. После каждой перезагрузки появляются файлы в паке System32 с "левыми" именами.
Каксперский так и не работает - запускаю проверку, которая заканчивается через пару секунд с отчетом что все ОК. :(
01.05.2010, 13:58
thyrex

[QUOTE='Natatula;630624']После каждой перезагрузки появляются файлы в паке System32 с "левыми" именами.[/QUOTE]Примеры таких файлов приведите
01.05.2010, 14:10
Natatula

[QUOTE=thyrex;630627]Примеры таких файлов приведите[/QUOTE]

вот последние которые удалял скрипт
EXPAPth.exe;
IyrC6Li.exe;
MM6F7Yo.exe;
до этого были другие со столь же осмысленными именами.
01.05.2010, 16:36
Rene-gad

Выполните скрипт
[CODE]begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Drivers\sptd.sys','');
end.[/CODE]
Пришлите карантин по правилам.
[url="http://virusinfo.info/showthread.php?t=15927]Пролечитесь с LiveCD[/url] от возможных файловых вирусов.
01.05.2010, 19:06
Natatula

[QUOTE=Rene-gad;630661]
Пришлите карантин по правилам.
[URL="http://%22http://virusinfo.info/showthread.php?t=15927"]Пролечитесь с LiveCD[/URL] от возможных файловых вирусов.[/QUOTE]

Карантин загружен:

Файл сохранён как100501_190402_virus_4bdc42e2be3cb.zip
Размер файла626890
MD51680a4e22e5758ec9bd04a28ba2c9d27
01.05.2010, 22:04
thyrex

Файл чистый. С помощью LiveCD проверились?
01.05.2010, 22:30
Natatula

[QUOTE=thyrex;630767]Файл чистый. С помощью LiveCD проверились?[/QUOTE]
Скачала образ. Нарезала на другой машине. Сейчас проверяется ноут (уже часа два пилит......)

....................

LiveCD в графическом режиме не заработал. Запустился с консоли с установками по умолчанию. Нашел 6 инфицированных файлов. Пять из них в папке карантина AVZ и один в System32 - это файл mscun7er-.dll
Отправляю этот файл

Файл сохранён как 100501_232121_virus_4bdc7f31154c0.zip
Размер файла 54706
MD5 06e65bf59ad96ea8ae9cb8960f3bbcec
02.05.2010, 09:23
Natatula

Скачала еще один LiveCD [Vba32 Rescue]
Проверила систему с помощью него.
Файл отчета прикрепляю.
02.05.2010, 12:53
Rene-gad

Проблема решена?
02.05.2010, 19:28
thyrex

Выполните на всякий случай

Выполните скрипт в AVZ
[code]begin
DeleteFile('C:\WINDOWS\system32\mscun7er-.#ll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи
02.05.2010, 20:10
Natatula

[QUOTE=thyrex;631062]Выполните на всякий случай

Сделайте новые логи[/QUOTE]

скрипт выполнен.
Возможно вирусов и нет, но следы остались. Касперский так и не работает. Запускается но поиск вирусов не производит.

новые логи прикладываю

А что с логами от LiveCD [Vba32 Rescue]? Он же тоже чего-то по находил.
02.05.2010, 20:32
thyrex

Логи сделайте обычным AVZ.

"Левый" сайт не грузится? Касперского пробовали переустанавливать?

В логах VBA скорее всего ложное срабатывание
02.05.2010, 20:52
Natatula

[QUOTE=thyrex;631094]Логи сделайте обычным AVZ.
"Левый" сайт не грузится? Касперского пробовали переустанавливать?
В логах VBA скорее всего ложное срабатывание[/QUOTE]

логи прикладываю.

Переустановка Касперского помогла. Проверка заработала. К "левым" сайтам обращений вроде нет.
02.05.2010, 21:37
Гриша

[QUOTE='Natatula;630778']и один в System32 - это файл mscun7er-.dll
Отправляю этот файл [/QUOTE]

Этот файл VBA удалил?
03.05.2010, 10:23
Natatula

[QUOTE=Гриша;631127]Этот файл VBA удалил?[/QUOTE]
Нет не VBA.

LiveCD от доктора ВЭба его переименовал. Файл я отправила с карантина сюда.
Затем мне прислали скрипт для AVZ - удаление этого файла. См. вчерашний пост от [B]thyrex[/B]

А в чем вопрос-то?
04.05.2010, 10:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\bc45edd0.exe - [B]Trojan.Win32.Agent2.cqyd[/B] ( DrWEB: Trojan.Packed.20032, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\expapth.exe - [B]Trojan-Dropper.Win32.Shiz.cm[/B] ( DrWEB: Trojan.Packed.20032, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\iyrc6li.exe - [B]Trojan-Dropper.Win32.Shiz.cn[/B] ( DrWEB: Trojan.Packed.20032, BitDefender: Gen:Variant.Malob.1 )[*] c:\windows\system32\mm6f7yo.exe - [B]Trojan-Dropper.Win32.Shiz.bw[/B] ( DrWEB: Trojan.Packed.20032, BitDefender: Gen:Variant.Malob.1, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\mscun7er-.dll - [B]Trojan-Spy.Win32.KeyLogger.eoq[/B] ( DrWEB: Trojan.Keylog.129, BitDefender: Trojan.Generic.3512695, AVAST4: Win32:KeyLogger-AGW [Trj] )[*] c:\windows\system32\mscun7er-.#ll - [B]Trojan-Spy.Win32.KeyLogger.eoq[/B] ( DrWEB: Trojan.Keylog.129, BitDefender: Trojan.Generic.3512695, AVAST4: Win32:KeyLogger-AGW [Trj] )[*] c:\windows\system32\14784fbc.exe - [B]Trojan.Win32.Agent2.cqyd[/B] ( DrWEB: Trojan.Packed.20032, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]