winlogon.exe грузит систему постоянно

Printable View

04.08.2010, 17:34
elstan

winlogon.exe грузит систему постоянно

Добрый день.
В браузере опера при посещении обычного сайта вылезла ошибка что-то про setupapi.dll, после этого перезагрузил комп, winlogon.exe стал грузить процессор на 50% постоянно, проверил КИС 8.0 с последними базами, он ничего не нашел. Авз нашел подозрительный файл, логи прикреплены.
Спасибо.
04.08.2010, 18:29
Никита Соловьев

Такой лог сделайте: [url]http://virusinfo.info/showthread.php?t=53070[/url]
04.08.2010, 20:22
elstan

Сделал, прикрепляю.
04.08.2010, 20:54
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Program Files\Common Files\System\Extend.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\mcdevice.sys','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Macromedia\SwUpdate\swupdate.dll','');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
QuarantineFile('C:\WINDOWS\system32\sfcfiles.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
RenameFile('C:\WINDOWS\system32\sfcfiles.dll', 'C:\WINDOWS\system32\sfcfiles.bak');
CopyFile('C:\WINDOWS\system32\dllcache\sfcfiles.dll', 'C:\WINDOWS\system32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\system32\sfcfiles.bak');
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW',2 ,2 ,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)

Сделайте новые логи
04.08.2010, 21:37
elstan

Выполнил скрипт, сделал новые логи. Хотел отправить карантин, но папка Quarantine почему-то пустая
04.08.2010, 21:43
Никита Соловьев

[QUOTE='elstan;682134']папка Quarantine почему-то пустая[/QUOTE]Жаль, ну да ладно.

Сделайте новый лог МВАМ
04.08.2010, 22:42
elstan

Сделал лог Mbam
04.08.2010, 22:50
Никита Соловьев

Удалите в МВАМ:
[CODE]Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\CLSID\{003541a1-3bc0-1b1c-aaf3-040114001c01} (Trojan.Swisyn) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{1b1d0286-1a03-4e7d-a5e1-022054cda9e3} (Adware.EcoBar) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{375c22ae-f0b0-47c3-ba60-baff0806434a} (Adware.EcoBar) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{dcbb729a-dc7b-4c5b-82ce-158bb801e96c} (Adware.EcoBar) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{b4806c1a-fe8a-4008-9da3-8cedb6e82c10} (Adware.EcoBar) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{b4806c1a-fe8a-4008-9da3-8cedb6e82c10} (Adware.EcoBar) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{b4806c1a-fe8a-4008-9da3-8cedb6e82c10} (Adware.EcoBar) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\swupdate (Trojan.Swisyn) -> No action taken.

Зараженные папки:
(Вредоносных программ не обнаружено)

Зараженные файлы:
C:\Documents and Settings\All Users\Application Data\Macromedia\SwUpdate\swupdate.dll (Trojan.Swisyn) -> No action taken.[/CODE]

Что с проблемой?
05.08.2010, 01:16
elstan

Winlogon перестал грузить систему, спасибо большое! =)

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 18 минут[/I][/B][/color][/size]

После выше проведенных операций опера перестала работать, я переустановил её, отключил первым делом Cookies и JavaScript, зашел на пару обычных сайтов (проверенных), затем закрыл оперу, через некорое время открываю оперу опять ошибка про setupapi.dll и опять начинает winlogon.exe грузить систему.
Выполнил первый скрипт АВЗ, проблему уже не решило, но теперь есть в карантине файлы:
[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]100805_011450_virus_4c59d84aeeef1.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]1403854[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]2615693baaaa995aaa6a88a7aa2a9ab2[/SIZE]
05.08.2010, 01:24
elstan

Скрины
05.08.2010, 01:39
Никита Соловьев

Карантин пришлите.

Запустите оперу, IE и подготовьте три лога
05.08.2010, 09:01
elstan

Карантин отправлен: [SIZE=1]Файл сохранён как 100805_011450_virus_4c59d84aeeef1.zip Размер файла 1403854MD52615693baaaa995aaa6a88a7aa2a9ab2[/SIZE] .
Насчет логов - нужно их сделать с включенным IE и Оперой?
05.08.2010, 09:07
light59

[QUOTE='elstan;682328']Насчет логов - нужно их сделать с включенным IE и Оперой? [/QUOTE]
[QUOTE='Venus Doom;682261']Запустите оперу, IE и подготовьте три лога [/QUOTE]
Да)
05.08.2010, 09:30
elstan

Сделал логи с открытым IE и Оперой
05.08.2010, 13:19
elstan

Вот лог mba
05.08.2010, 13:52
elstan

Прочитал на форуме сайта, где подхватил этот вирус, что вирус действительно был в каком-то баннере и, что вирус что-то сделал с sfcfiles.dll и sfc.sys, но пути решения проблемы там нету
05.08.2010, 14:30
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Program Files\Common Files\System\Extend.dll','');
QuarantineFile('C:\Program Files\Opera\SETUPAPI.dll','');
DeleteFile('C:\Program Files\Opera\SETUPAPI.dll');
QuarantineFile('C:\WINDOWS\system32\sfcfiles.dll ','');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
05.08.2010, 15:06
elstan

Я извинюясь, пока ждал ответа, обновил Dr.Web Cure it, проверил систему в безопасном режиме, он вылечил mssfc.dll , а sfcfiles.dll переместил, в виду невозможности лечения. (есть лог)
Сейчас сделал Ваш скрипт, отослал карантин (Файл сохранён как 100805_150346_quarantine_4c5a9a92f2f16.zip
Размер файла 107986
MD5 5b1d0751242a50922350f614b977f148 )
, сделал логи.
05.08.2010, 15:17
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\Program Files\Common Files\System\Extend.dll');
if CheckFile('%System32%\dllcache\sfcfiles.dll')=3 then
CopyFile('%System32%\dllcache\sfcfiles.dll', '%System32%\sfcfiles.dll');
QuarantineFile('%System32%\sfcfiles.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
05.08.2010, 15:30
elstan

[SIZE=2]Карантин:[/SIZE]
[SIZE=2]Файл сохранён как[/SIZE]
[SIZE=2][/SIZE]
[SIZE=2]100805_152647_quarantine_4c5a9ff79d136.zip[/SIZE]
[SIZE=2]Размер файла[/SIZE][SIZE=2] 421504[/SIZE][SIZE=2]
MD5[/SIZE][SIZE=2] ac4e658331a4c41630ba66d8cc6db6d5[/SIZE]
Сделал логи
05.08.2010, 23:13
polword

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: QvodExtend - {53AC8551-0DE0-4606-8A1E-A51AF20ADD60} - C:\Program Files\Common Files\System\Extend.dll (file missing)
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{53AC8551-0DE0-4606-8A1E-A51AF20ADD60}');
DeleteFile('C:\Program Files\Common Files\System\Extend.dll');
BC_ImportAll;
BC_DeleteFile('C:\Program Files\Common Files\System\Extend.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
05.08.2010, 23:52
elstan

Выполнил скрипт, сделал логи
06.08.2010, 20:09
polword

В логах подозрительного нет.

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
На этом можно считать лечение законченным.
06.08.2010, 22:26
elstan

Огромное спасибо всем за помощь!
07.08.2010, 22:26
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\opera\setupapi.dll - [B]Trojan.Win32.BHO.ajca[/B] ( DrWEB: Trojan.Siggen2.354, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\sfcfiles.dll - [B]Trojan-Spy.Win32.Agent.bism[/B] ( DrWEB: Trojan.WinSpy.921, BitDefender: Gen:Trojan.Heur.LP.Fr7@a8I!lrp, AVAST4: Win32:Spyware-gen [Spy] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]