Появилась откула-то новая учетная запись

Printable View

26.08.2010, 15:47
SerrNikk

Появилась откула-то новая учетная запись

помогите пожалуйста.
я умудрился подцепить заразу CMD.exe, которая выкидывала банне6 требующий отправить смс. убил тупо удалив из папки system32, но после этого на компе автоматически САМА создалась запароленная учетная запись.... сегодня я схлопотал вирус требующий отправить смс при входе вконтакт наивно открыв файл присланный мне другом с расширением .scr, и вот сейчас всерьез задумался о лечении компа.
проверял dweb, вирусов не обнаружил..... AVZ тупо не запускается....
буду очень признателен за помощь.
26.08.2010, 15:49
polword

Давайте попробуем сделать так:
- скачайте [URL="http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/"]AVPtool[/URL]
- установите и запустите его
- откройте вкладку [B][COLOR="Blue"]Ручное лечение[/COLOR][/B]
- Нажмите кнопку [COLOR="Blue"]«Сбор информации о системе»[/COLOR].
- создавшийся лог прикрепите к новому сообщению
26.08.2010, 17:20
SerrNikk

спасибо )))

[size="1"][color="#666686"][B][I]Добавлено через 28 минут[/I][/B][/color][/size]

в скачаном AVZ названия всех менюшек и кнопок обозначены непонятными символами, программа запустилась только при копировании файла exe на рабочий стол. помогите с запуском программы...
26.08.2010, 17:46
SerrNikk

нашел скрепку...

надеюсь это то что нужно
26.08.2010, 17:50
SerrNikk

помогите. накосячил много... воспользовался сервисом 911 (в AVPTOOL), воткнул туда не тот файл судя по всему.... теперь не знаю где закрывать заявку - на 911 или тут закрывать тему? не отвечают ни там, ни тут...
26.08.2010, 18:07
polword

- [URL="http://avptool.ru/ru/AVPTool_helpdesk_curescript.htm"]выполните скрипт[/URL] в [B][COLOR="Blue"]AVPTool[/COLOR][/B]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS\system32\kwmqtf.exe','');
QuarantineFile('C:\WINDOWS\system32\e853ded8.exe','');
QuarantineFile('C:\Documents and Settings\All Users\TempDir\start.bat','');
DeleteService('iatmunin');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\iatmunin.sys','');
DeleteService('mkdrv');
QuarantineFile('C:\WINDOWS\mkdrv.sys','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\QG4Ox3W0.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\aec.sys','');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\QG4Ox3W0.sys');
DeleteFile('C:\WINDOWS\mkdrv.sys');
DeleteFile('C:\Documents and Settings\All Users\TempDir\start.bat');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','AAPatch');
DeleteFile('C:\WINDOWS\system32\e853ded8.exe');
DeleteFile('C:\WINDOWS\system32\kwmqtf.exe');
QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
QuarantineFile('%windir%\system32\mssfc.dll','');
DeleteFile('%windir%\system32\drivers\sfc.sys');
DeleteFile('%windir%\system32\mssfc.dll');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
begin
if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
SaveLog('sfcfiles.log');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
SaveLog('sfcfiles.log');
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в i386');
SaveLog('sfcfiles.log');
end;
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в кеше');
SaveLog('sfcfiles.log');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
SaveLog('sfcfiles.log');
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в i386');
SaveLog('sfcfiles.log');
end;
end;
DeleteFile('%windir%\system32\sfcfiles.bak');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteFile('%windir%\System32\sfcfiles.bak');
BC_DeleteSvc('sfc');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);.
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive('C:\quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из корня диска С загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])
- файл [COLOR="Blue"][B]sfcfiles.log[/B][/COLOR] прикрепите к сообщению
26.08.2010, 18:28
SerrNikk

невозможно выполнить задачу. код ошибки - 99с63001 .
26.08.2010, 18:30
polword

когда скрипт запускаете?
26.08.2010, 18:50
SerrNikk

сейчас вставляю скрипт по инструкции в окно жму выполнить. говорит невозможно.

[size="1"][color="#666686"][B][I]Добавлено через 51 секунду[/I][/B][/color][/size]

отчета не дает...

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

аналогичная проблема темой выше - При запуске avz и HijackThis окно появляется и они сразу исчезают.
Названия файлов, названия папок менял.
сайты слава Богу не блокнуты. из утилит запускается только Gmer.... готовлю с него лог.
26.08.2010, 19:49
polword

антивирус отключаете? В безопасном режиме попробуйте
27.08.2010, 09:16
SerrNikk

начал тупо автоматическую проверку антивирем, куча троянов и эксплоитов, все удаляю, после очистки вышлю логи. присылать карантин? около полугода работал вообще без защитного ПО ....
27.08.2010, 09:19
polword

[QUOTE=SerrNikk;696494]присылать карантин? [/QUOTE]
пришлите
27.08.2010, 10:17
SerrNikk

как сделать нужные логи после проверки и лечения AVPtool? ......
27.08.2010, 10:40
polword

[URL="http://virusinfo.info/pravila_old.html"][COLOR="blue"]так[/COLOR][/URL]
27.08.2010, 10:51
SerrNikk

1. Запустите AVZ*. Откройте меню "Файл"=>"Стандартные скрипты" и отметьте пункт "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info". Нажмите "Выполнить отмеченные скрипты". Будет выполнено автоматическое сканирование, лечение и исследование системы, полученный лог avz_sysinfo.htm будет сохранен в директории AVZ в папке "LOG" в архиве virusinfo_syscure.zip.
Данный пункт невыполним. утилита AVZ не запускается даже с ключами AM=Y , переименовывать пробовал, перемещать тоже.
Полистаю форум поищу аналогичные темы, если не найду решения то после проверки AVPTool буду готовить лог Gmer =(
27.08.2010, 10:52
polword

Давайте попробуем сделать так:
- скачайте [URL="http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/"]AVPtool[/URL]
- установите и запустите его
- откройте вкладку [B][COLOR="Blue"]Ручное лечение[/COLOR][/B]
- Нажмите кнопку [COLOR="Blue"]«Сбор информации о системе»[/COLOR].
- создавшийся лог прикрепите к новому сообщению
27.08.2010, 11:02
SerrNikk

Лог после проверки и лечения

[ATTACH]264585[/ATTACH]
27.08.2010, 11:14
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('c:\windows\system32\kwmqtf.exe','');
QuarantineFile('C:\Documents and Settings\All Users\TempDir\start.bat','');
DeleteService('iatmunin');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\iatmunin.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\aec.sys','');
DeleteService('mkdrv');
QuarantineFile('C:\WINDOWS\mkdrv.sys','');
DeleteFile('C:\WINDOWS\mkdrv.sys');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\iatmunin.sys');
DeleteFile('C:\Documents and Settings\All Users\TempDir\start.bat');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','AAPatch');
DeleteFile('c:\windows\system32\kwmqtf.exe');
BC_ImportAll;
ExecuteSysClean;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_DeleteFile('C:\WINDOWS\mkdrv.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive('C:\quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из корня диска С загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- скачайте новую версию [URL="http://z-oleg.com/avz4.zip"]AVZ - 4.35[/URL]
- [B][COLOR="Red"]обновите базы AVZ[/COLOR][/B]
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])
27.08.2010, 11:27
SerrNikk

карантин пришел?
27.08.2010, 11:35
polword

нет. При загрузке не ругался?
27.08.2010, 12:16
SerrNikk

неа молчал тупо. сделал все логи. после лечения запустились все антивирусные утилиты и комп стал работать быстрее при загрузке системы и при выключении системы )))) шлю логи, есть карантин от авз, прикреплять siscure?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

отослал карантин повторно..... думаю мозила глючит. сюда залить прикрепить нельзя с остальными логами?
27.08.2010, 12:18
SerrNikk

Вложений: 3

Логи

логи
27.08.2010, 12:27
SerrNikk

сейчас попробую зайти в управление учетными записями Windows...

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

самопоявившуюся запороленную учетную запись наконец-то удалил. впринципе у меня сейчас все отлисно с системой. в процессе лечения были решены проблемы:
1. Перестала жутко тормозить система при загрузке и выключении.
2. Мой мобильный интернет стал летать примерно раза в три быстрее (подозреваю что у меня "утекал" траффик)
3. Была удалена подозрительная учетная запись которая появилась после заразы CMD.exe (или какого другого бэкдора, не суть =) .
Спасибо огромное за колоссальное терпение и помощь ! )
Буду рад если проанализируют мои логи, чтобы окончательно вылечиться
27.08.2010, 12:36
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\aec.sys','');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Восстановите C:\WINDOWS\system32\drivers\aec.sys файл C:\WINDOWS\System32\sfcfiles.dll из [URL="http://virusinfo.info/showthread.php?t=51654"]дистрибутива[/URL].
- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR]
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
27.08.2010, 12:37
SerrNikk

куда слать карантины от AVZ и AVPTool? стандартно у меня не получается.
27.08.2010, 12:46
polword

[QUOTE=polword;696641]
- Восстановите C:\WINDOWS\system32\drivers\aec.sys файл C:\WINDOWS\System32\sfcfiles.dll из [URL="http://virusinfo.info/showthread.php?t=51654"]дистрибутива[/URL].
- Сделайте повторный лог [COLOR=Blue]virusinfo_syscheck.zip[/COLOR]
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=Blue][B]MBAM[/B][/COLOR][/URL][/QUOTE]
это делайте
27.08.2010, 14:01
SerrNikk

нашел aec.sys.bak на своем компе.... если тупо поменяю расширение все будет норм ? .. о0

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

путь: C:\WINDOWS\system32\drivers\aec.sys.bak

[size="1"][color="#666686"][B][I]Добавлено через 58 минут[/I][/B][/color][/size]

при восстановлении файлов пропал глюк с зависанием панели задач ! )) делаю последний лог
27.08.2010, 14:17
polword

поменяйте и сделайте лог virusinfo_syscheck.zip

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

- Скачайте [URL="http://virusinfo.info/attachment.php?attachmentid=264140&d=1282796159"]отсюда[/URL] архив, распакуйте его и восстановите файл C:\WINDOWS\System32\sfcfiles.dll.
28.08.2010, 08:07
SerrNikk

Лог

лог MBAM. странная пргга, нашла еще какую-то заразу о_О
28.08.2010, 08:08
SerrNikk

Лог

[ATTACH]264890[/ATTACH]
29.08.2010, 11:24
polword

- [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] в [B]MBAM[/B]
[CODE]
Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\LtuSoftware (Malware.Trace) -> No action taken.

Зараженные папки:
C:\Program Files\Common Files\wm\keys (Trojan.KeyLog) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\Admin\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
C:\Program Files\Mozilla Firefox\setupapi.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\All Users\TempDir\rdb.bat (Trojan.Ransom) -> No action taken.

[/CODE]