Атака троянов - много, разных видов!

Printable View

07.02.2007, 13:54
zmirno

Вложений: 3

Атака троянов - много, разных видов!

[FONT=Times New Roman][SIZE=3]Уважаемые помощники, я подхватил [U]ОДНОВРЕМЕННО[/U] всего за пару секунд целый «букет».[/SIZE][/FONT]

[SIZE=3][FONT=Times New Roman]NOD32 удалил некоторые зараженные файлы:[/FONT][/SIZE]

[SIZE=3][FONT=Times New Roman]C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\9JBC4NF7\60787[1].exe - вероятно модифицированный Win32/TrojanDropper.Agent.AKO троян – удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\FYAGJGDD\nldr[1] - модифицированный Win32/TrojanDownloader.Agent.QN троян – удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\GIK3L27L\new2[1] - вероятно модифицированный Win32/TrojanDownloader.Agent.AOX троян – удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\Documents and Settings\User\Local Settings\TempKB39221.exe - Win32/Small.NR троян – удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\WINDOWS\system32\update62523833.exe - вероятно модифицированный Win32/TrojanDownloader.Agent.AOX троян – удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\WINDOWS\Temp\fydyoaky.exe - вероятно модифицированный Win32/TrojanDropper.Agent.AKO троян - удален [/FONT][/SIZE]

[FONT=Times New Roman][SIZE=3]Некоторые файлы удалены после перезагрузки:[/SIZE][/FONT]

[SIZE=3][FONT=Times New Roman]C:\WINDOWS\system32\zAskop.dll - Win32/Spy.Small.DP троян - удален (после следующего перезапуска) [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\System Volume Information\_restore{0F84102C-4DB3-45DF-A54F-0DDACB415588}\RP9\A0000447.exe - Win32/Small.NR троян – удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\WINDOWS\Media\vcdb32.dll - модифицированный Win32/Spabot.NAC троян - удален (после следующего перезапуска) [/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]C:\WINDOWS\system32\hygnvcw.dll - модифицированный Win32/Agent.NEJ троян - удален (после следующего перезапуска) [/SIZE][/FONT]

[SIZE=3][FONT=Times New Roman]Было сообщение, что заражена память – модифицированный Win32/TrojanDownloader.Agent.QN[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Источник заражения – C:\WINDOWS\system32\update21677000.exe.[/FONT][/SIZE]

[FONT=Times New Roman][SIZE=3]Второе сканирование снова обнаружило вирусы:[/SIZE][/FONT]

[SIZE=3][FONT=Times New Roman]C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\FYAGJGDD\ver0502[1] - модифицированный Win32/Agent.OH троян - удален [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\System Volume Information\_restore{0F84102C-4DB3-45DF-A54F-0DDACB415588}\RP9\A0000450.dll - модифицированный Win32/Spabot.NAC троян - удален [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\System Volume Information\_restore{0F84102C-4DB3-45DF-A54F-0DDACB415588}\RP9\A0000451.dll - модифицированный Win32/Agent.NEJ троян - удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\System Volume Information\_restore{0F84102C-4DB3-45DF-A54F-0DDACB415588}\RP9\A0000452.dll - Win32/Spy.Small.DP троян - удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]C:\WINDOWS\system32\update00822631.exe - модифицированный Win32/Agent.OH троян - удален[/FONT][/SIZE]

[FONT=Times New Roman][SIZE=3]В карантине остаётся и не удаляется файл[/SIZE][/FONT]
hттp://ms-counter.com/ms-counter/loadt/exe/loader.exe?9262074855963079
[FONT=Times New Roman][SIZE=3]вирус Win32/Small.NR троян[/SIZE][/FONT]

[FONT=Times New Roman][SIZE=3]Кроме того, исчезало и не настраивалось соединение с Интернетом по локальной сети, сообщение: «компьютеру не был назначен сетевой адрес». Сейчас восстановилось, но после такой атаки не знаю, чего ждать.[/SIZE][/FONT]

[FONT=Times New Roman][SIZE=3]Помогите, пожалуйста.[/SIZE][/FONT]
07.02.2007, 14:08
PavelA

в AVZ выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\hygnvcw.dll','');
QuarantineFile('C:\WINDOWS\TEMP\svchost.exe','');
QuarantineFile('C:\WINDOWS\Media\vcdb32.dll','');
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\18026590.exe','');
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\18027982.exe ','');
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\18027652.exe ','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\18027652.exe ');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\18027982.exe ');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\18026590.exe');
ClearHostsFile;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Карантин после перезагрузки прислать согласно Приложения 2 (см. рисунок внизу)
Ссылка на тему: [url]http://virusinfo.info/showthread.php?t=7827[/url]
07.02.2007, 14:27
zmirno

Выполнил скрипт. Файлы из карантина выслал согласно правилам.
Только что выскочили два окна с предупреждением от NOD32 о заражении

[COLOR="Red"]<ссылки на зловредов - удалено>[/COLOR]

Как действовать дальше?
07.02.2007, 14:33
PavelA

Предупреждение - не указывать прямой адрес на вирус в форуме

Дальше ждать ответа.

Какой пароль на архиве? Стандартный не проходит.
07.02.2007, 14:37
zmirno

Прошу прощенья. Удалить сообщения со ссылками?
07.02.2007, 14:40
PavelA

Отредактировать. Вместо http - hxxp.
Ответь насчет пароля
07.02.2007, 14:41
zmirno

Я пароль не ставил Открыл карантин в AVZ - пометил все файлы - архивировал - выслал
??
07.02.2007, 14:50
Зайцев Олег

[QUOTE=zmirno;94892]Я пароль не ставил Открыл карантин в AVZ - пометил все файлы - архивировал - выслал
??[/QUOTE]
AVZ сам ставит пароль при сохранении архива из карантина.
Файлы:
DOCUME~1\User\LOCALS~1\Temp\18027652.exe
DOCUME~1\User\LOCALS~1\Temp\18027982.exe
WINDOWS\system32\msnetax.dll
WINDOWS\TEMP\svchost.exe
All Users\Документы\Settings\partnership.dll
являются троянами и их нужно удалить отложенным удалением AVZ. После удаления и перезагрузки нужны новые логи - для контроля.
07.02.2007, 14:52
zmirno

еще раз архивировал и выслал файлы из карантина.
Опять были предупреждения от NOD,
теперь в карантине NOD уже шесть файлов
все Win32/Small.NR троян
hттp://ms-counter.com/ms-counter/loadt/exe/loader.exe? и разные цифры на конце
07.02.2007, 15:18
zmirno

Вложений: 3

Удалил указанные файлы через отложенное удаление в AVZ.
Сделал новые логи для проверки.
Жду указаний.
07.02.2007, 15:27
Зайцев Олег

[QUOTE=zmirno;94900]Удалил указанные файлы через отложенное удаление в AVZ.
Сделал новые логи для проверки.
Жду указаний.[/QUOTE]
Судя по логам файлы на месте. Выполните скрипт AVZ (файл/выполнить скрипт):
[CODE]
begin
// Снятие перехватов и активация AVZGuard
SearchRootkit(true, true);
SetAVZGuardStatus(True);
// Удаление файлов
DeleteFile('c:\documents and settings\user\~tmp0374.exe');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\WINDOWS\system32\msnetax.dll');
DeleteFile('C:\WINDOWS\TEMP\svchost.exe');
// Удаление SPI провайдера
DelSPIByFileName('msnetax.dll', true);
AutoFixSPI;
// Импорт списка удаленных файлов
BC_ImportDeletedList;
// Чистка ссылок на удаленные файлы
ExecuteSysClean;
// Активация драйвера Boot Cleaner
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
// Перезагрузка
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер автоматически перезагрузится. После этого как всегда - логи для контроля.
07.02.2007, 15:30
zmirno

Выполнил скрипт, но комп автоматически не перезагружается. как поступить?
07.02.2007, 15:32
Зайцев Олег

[QUOTE=zmirno;94903]Выполнил скрипт, но комп автоматически не перезагружается. как поступить?[/QUOTE]
Странно - т.е. скрипт выполнился успешно, ошибок не было и перезагрузка не пошла ? Если это так, то нужно выйти из AVZ не выключая AVZGuard и пререзагрузиться вручную
07.02.2007, 18:16
zmirno

Вложений: 3

[FONT=Times New Roman][SIZE=3]У меня прервалась связь с Интернетом, но я всё ещё надеюсь на помощь. Все указания выполнил. [/SIZE][/FONT]

[SIZE=3][FONT=Times New Roman]Выполнил скрипт. Было сообщение - скрипт выполнен успешно. Но компьютер не перезагрузился автоматически. Завис, пришлось перезагружать вручную. После чего исчезла связь с Интернетом. Локальный администратор проверил параметры – всё в порядке. Но страницы не грузятся. Хотят загружаться с узла res://C:\Windows\system32\shdoclc.dll/dnserror.htm[/FONT][/SIZE]

[SIZE=3][FONT=Times New Roman]Еще обнаружил, что не работает Брандауэр.[/FONT][/SIZE]

[SIZE=3][FONT=Times New Roman]Ещё раз сканировал при помощи NOD32 – программа удалила два файла из папки Infected – AVZ[/FONT][/SIZE]

[SIZE=3][FONT=Times New Roman]D:\AVZ\Infected\2007-02-07\avz00002.dta - Win32/Small.NR троян – удален[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]D:\AVZ\Quarantine\2007-02-07\avz00005.dta - модифицированный Win32/TrojanProxy.Xorpix троян - удален[/FONT][/SIZE]

[SIZE=3][FONT=Times New Roman] Новые логи посылаю с другой машины. Можно ли ещё что-нибудь предпринять?[/FONT][/SIZE]
07.02.2007, 19:05
Зайцев Олег

Отлично, видимо зловреды погибли. Далее нужно выполнить скрипт:
[CODE]
begin
AutoFixSPI;
end.
[/CODE]
после чего следует перезагрузиться. Если интернет заработает, то повезло, если нет, то нужно выполнить сканирование AVZ (диски можно не отмечать), но перед сканированием следует выставить птичку "Автоматически исправлять ошибки SPI/LSP" на закладке "параметры поиска". После сканирования нужно перезагрузиться.
Если и это не поможет, то в командной строке нужно выполнить команду [B]netsh int ip reset [/B]и перезагрузиться.
07.02.2007, 20:49
zmirno

Спасибо за помощь. Смогу выполнить рекомендации только завтра к вечеру, обязательно сообщу результаты. Нужно ли сделать и прислать новые логи?
07.02.2007, 20:55
drongo

[quote=zmirno;94952]Спасибо за помощь. Смогу выполнить рекомендации только завтра к вечеру, обязательно сообщу результаты. Нужно ли сделать и прислать новые логи?[/quote]
Не помешает посмотреть что получилось , только присылать не нужно . Логи нужно прикреплять к теме ;)
10.02.2007, 14:38
zmirno

Вложений: 3

Уважаемые помощники, выполнил все три рекомендации поочерёдно. Но интернет так и не появился. Потом стали тормозить и слетать программы, исчез звук и пр. Попытался в Safe Mode сканировать в AVZ, чтобы прислать логи, но программа зависла. Короче, пришлось систему переустанавливать. После переустановки сделал новые логи, посмотрите, пожалуйста, всё ли сейчас в порядке. Ещё вопрос – стоит ли пользоваться CCleaner (я не очень в ней разобрался)[FONT=Times New Roman]? :? [/FONT]
Спасибо.
10.02.2007, 22:58
zmirno

Извините, напоминаю о себе. Посмотрите логи?
10.02.2007, 23:57
Geser

Логи чистые
11.02.2007, 00:17
zmirno

СПАСИБО
22.02.2009, 01:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\документы\\settings\\partnership.dll - [B]Trojan-Proxy.Win32.Xorpix.gk[/B] (DrWEB: BackDoor.Uragan)[*] c:\\docume~1\\user\\locals~1\\temp\\18027652.exe - [B]Trojan.Win32.Agent.zq[/B] (DrWEB: Trojan.DownLoader.18136)[*] c:\\docume~1\\user\\locals~1\\temp\\18027982.exe - [B]Trojan.Win32.Agent.zq[/B] (DrWEB: Trojan.DownLoader.18136)[*] c:\\windows\\system32\\msnetax.dll - [B]Trojan.Win32.Msnetax.f[/B] (DrWEB: Trojan.Sender)[*] c:\\windows\\temp\\svchost.exe - [B]Trojan-Proxy.Win32.Small.ck[/B] (DrWEB: Trojan.Starter.161)[/LIST][/LIST]