TR/Agent.Hidding.I Trojan

Добрый день, Уважаемые Virusinfo.
Проблема заключается в следующем:
На рабочий компьютер попал вирус, антивирусник (AVIRA) определил его как TR/Agent.Hidding.I Trojan при этом, на рабочей флешке, всегда стоящей в данном компьютере AVIRA запрещает открывать любую папку (формат папки изменился теперь они идут как файлы с окончанием .exe)
Прогнав антивирусником (углубленно) систему обнаружил и удалил еще пяток вирусов... но проблема все равно осталась...
Проблема осложняется еще и тем, что информация на HDD важная и ее потеря будет невосполнима!
Терпим бедствие и просим о помощи!
Заранее спасибо!

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]R3 - URLSearchHook: (no name) - - (no file)[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Avira\AntiVir Desktop\TEMP\AVSCAN-20101118-100215-4E333595\ARK12.tmp','');
DeleteService('CSNetManagerXp');
QuarantineFile('C:\WINDOWS\system32\isass.exe','');
QuarantineFile('C:\WINDOWS\system32\anpla.dll','');
DeleteFile('C:\WINDOWS\system32\anpla.dll');
DeleteFile('C:\WINDOWS\system32\isass.exe');
BC_DeleteSvc('CSNetManagerXp');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]Гмер[/URL]

Закройте все программы - выполнено.
Отключите
- ПК от интернета/локалки. - отключили.
- Антивирус и Файрвол - отключили.
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[COLOR=black] - отключили.[/COLOR][/URL]

[COLOR=Black][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] - выполнено.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] - выполнено.

После перезагрузки:
- выполните такой скрипт

Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Выполнили. Карантин загрузили.

Файл сохранён как 101118_143503_quarantine_4ce50f6779282.zip
Размер файла 323411
MD5 fa86de3d81033e8542d734bc1debf1af

Avira все равно, на данный момент ругается на папки флеш карты, определяя их как *.exe. Что с этим можно сделать? С отключенным антивиром, папки вроде как нормальные, содержимое в них имеется, и все вроде нормально... может сам антивирус попал в радиус заражения каким-то образом?

Логи AVZ и Hijackthis сделать заново?

- Сохраните текст ниже как [B]1.bat[/B] в ту же папку, где находится [B]trc88tud.exe[/B](GMER) и запустите этот батник(1.bat):

[CODE]trc88tud.exe -del service xrlker
trc88tud.exe -del file "C:\WINDOWS\system32\gitntiep.dll"
trc88tud.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xrlker"
trc88tud.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xrlker"
trc88tud.exe -reboot[/CODE]

Компьютер перезагрузится.

После перезагрузки:
- Сделайте повторные логи АВЗ
- Сделайте новый лог Gmer

Сделали все как Вы сказали...
Прикладываем логи...

Avira все равно блокирует флешку говоря, что на ней тот же вирус... можно ли с этим что-то сделать?

Просьба - поймите пожалуйста, что мы сейчас занимаемся тем, что вычищаем компьютер, он сам заражён. Флешкой обязательно займёмся.

Логи АВЗ выложили старые, нужны новые. При снятии логов, флешка должна быть подключена, если Вы хотите решить вопрос с ней.

Да, конечно, понимаем, простите нашу маленькую некомпетентность...
Логи сняли - прикрепляем.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('CSNetManagerXp', 4);
DeleteService('CSNetManagerXp');
TerminateProcessByName('c:\windows\system32\isass.exe');
DeleteFile('c:\windows\system32\isass.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Avira\AntiVir Desktop\TEMP\AVSCAN-20101118-100215-4E333595\ARK12.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

Выполните скрипт в AVZ - выполнено.
Прикрепляем логи.

Что с проблемой?

При работе с компьютером на данный момент вроде все нормально.
На флешке все равно AVIRA упорно видит папки как *.exe и определят их как TR/Agent.Hidding.I Trojan... что делать там тоже много важной информации...=(
Если антивирусник выключить по папки преображаться в папки и все вроде нормально... ничего не могу понять...

Просканируйте флешку программой [URL="http://virusinfo.info/showthread.php?t=53070"]МВАМ[/URL] (правой кнопкой мыши и в проводнике "Просканировать Malwarebytes Antimalware") Лог работы утилиты приложите к следующему сообщению.

Просканируйте флешку программой МВАМ (правой кнопкой мыши и в проводнике "Просканировать Malwarebytes Antimalware") Лог работы утилиты приложите к следующему сообщению. - просканировали, пищало все долго... а из зараженных - 1 фаил.

Прикрепляем лог.

Найденный файл Вам знаком?

Напишите точные имена определяемых Авирой файлов.

Да это не фаил, программа его тоже определила как *.exe, а на самом деле это целая папка "Договора" - все заключенные с начала года договора там=(

Не факт, у Вас включено отображение расширений для зарегистрированных типов файлов?

Все папки на флешки, AVIRA блокирует как атаки выводя одну и туже надпись
Is the TR/Agent.Hidding.I Trojan
Да, стоит, я говорю как он их определяет.

Так, Вы меня не поняли, ещё раз - Открываем окно проводника - Сервис - Свойства папки - Вид, а теперь внимательно - стоит ли галка напротив "Скрывать расширения для зарегистрированных типов файлов"?

ДА стоит... и самое главное, что не могу это убрать... точнее убираю, но ничего не меняется. Нажимаю применить и при повторном заходе в свойства папки-вид, галки опять стоят...

14.15 ... при полном сканировании программа выдает аш 29!
Лог прикрепляем.

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [B]кроме[/B][code]Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.[/code]

Да это сейчас сделаем... При загрузке компьютера опять вылез тот же зараженный файл в системной папке Win, правда не могу понять как, ведь мы его вроде как удалили (C:\Windows\system32\isass.exe)
Сейчас выполним [U]Удалите в МВАМ[/U] и сделаем все логи заново.

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 37 минут[/I][/B][/color][/size]

простите за вопрос если он немного не уместен, а удаление в данном варианте безвозвратное? Т.е. мы удалим всю имеющуюся информацию с флешки?

Лог МВАМ прикрепляем.
Лог Hijackthis прикрепляем.

Что с проблемой?

Сейчас делаю логи АВЗ, антивирусник пока не включал, как закончит выложу логи АВЗ и включу погляжу... информация с флешки вся удалилась, пичаль=(

[QUOTE='000Bars;736041']информация с флешки вся удалилась, пичаль=([/QUOTE] Кем удалилась?

[QUOTE=thyrex;734859][URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] все, [B]кроме[/B][code]Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.[/code][/QUOTE]

Удалили. Папки видимые на флешки как файлы были в списке. Ест-но что и они тоже "сделали ручкой".
Информацию возможно можно будет возвратить, правда это будет не просто. Главное вирус изжить...

Логи AVZ прикрепляем.

Сдаётся мне, что всё-таки это были файлы, маскирующиеся под папки (такое бывает). Но если что - из карантина МВАМ можно всё восстановить.

[QUOTE=Olejah;736046]Сдаётся мне, что всё-таки это были файлы, маскирующиеся под папки (такое бывает). Но если что - из карантина МВАМ можно всё восстановить.[/QUOTE]

Будем думать, что это действительно так...
Перезагрузился, Антивирус не ругается, машина ведет себя вроде адекватно.

Как можно удостовериться, что вирус себя изжил?

Повторите лог МВАМ

Простите за задержку с ответом... навалилось работы.

Прикрепляем лог МВАМ.

В процессе не ругался, только 1 раз Авира на карантин показала.


Подскажите пожалуйста еще такой вопрос по флешке... папки с нее мы удалили (выше). после чего я заметил, что у меня свободного места на ней почти не осталось... открыв ТК увидел все мои папки, но они скрытые, информация в них вся в полном объеме. Как мне из скрытых ьпапок сделать нормальные?

[QUOTE='000Bars;737052']открыв ТК увидел все мои папки, но они скрытые[/QUOTE]В Total Commander можно изменить атрибуты. См. меню Файл

Спасибо огромное, вроде разобрался папки стали нормальными.

p.s. Спасибо огромное VIRUSINFO!!! И отдельно: Olejah и thyrex!

Ребят, вынужден обратиться к Вам вторично, видимо с флешки каким-то образом заразил комп отца, вирус долго не проявлялся, АВИРОЙ проверяли комп, она смолчала посчитали, что все нормально. Сейчас ситуация изменилась после загрузки 100% вылетает окно АВИРЫ с тем же вирусом, никаких изменений (во всяком случае видимых) не наблюдается. Однако я понял что данный вирус на компьютере не один, так как Ваш сайт с того компьютера не могу загрузить не пускает. Сейчас по локалке скидываю все программки чтобы сделать логи и выложить тут. Надеюсь, что сможете помочь мне и теперь.

Заранее спасибо.

p.s. через роут -ф удалось загрузиться к Вам на сайт с зараженного компьютера... сейчас сделаем все логи и выложим.

Выкладываем логи AVZ, Hijack, MBAM.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\\?\globalroot\systemroot\system32\qHH0bWR.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\JcOQ7fJ.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\d135c473.exe','');
QuarantineFile('C:\WINDOWS\fd.dll','');
DeleteService('navigator');
QuarantineFile('C:\Program Files\Avant Browser\Skins\F753A90A27F998BC\F753A90A27F998BC','');
DeleteService('F753A90A27F998BC');
DeleteService('CSNetManagerXp');
QuarantineFile('C:\WINDOWS\system32\isass.exe','');
DeleteFile('C:\WINDOWS\system32\isass.exe');
DeleteFile('C:\Program Files\Avant Browser\Skins\F753A90A27F998BC\F753A90A27F998BC');
DeleteFile('C:\WINDOWS\fd.dll');
DeleteFile('C:\WINDOWS\system32\d135c473.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('\\?\globalroot\systemroot\system32\JcOQ7fJ.exe');
DeleteFile('\\?\globalroot\systemroot\system32\qHH0bWR.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все найденное

Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]

Извините за долгий ответ. Все сделали.

Карантин выслали. Реквизиты:
Файл сохранён как 101213_174545_virus_4d063199d4fe0.zip
Размер файла 4059
MD5 6caeeb0e0ba916a44bcc1667dbe69251

Логи прикрепляем.

Сохраните приведённый ниже текст в файл [b]cleanup.bat[/b] в ту же папку, где находится qxv61w7b.exe (gmer)
[CODE]qxv61w7b.exe -del service F753A90A27F998BC
qxv61w7b.exe -del service frxfobpgx
qxv61w7b.exe -del file "C:\WINDOWS\system32\puohflw.dll"
qxv61w7b.exe -del file "C:\Program Files\Avant Browser\Skins\F753A90A27F998BC\F753A90A27F998BC"
qxv61w7b.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\frxfobpgx"
qxv61w7b.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\F753A90A27F998BC"
qxv61w7b.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\frxfobpgx"
qxv61w7b.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\F753A90A27F998BC"
qxv61w7b.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\frxfobpgx"
qxv61w7b.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\F753A90A27F998BC"
qxv61w7b.exe -reboot
[/CODE]И запустите сохранённый пакетный файл [b]cleanup.bat[/b].
Внимание: Компьютер перезагрузится!

thyrex, скрип выполнили, правда на половину он написал, что такой путь не найден. Антивирусник не орет, работоспособность компьютера вроде нормальная. Есть ли еще в логах что-то "вредное"?

- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR];

Обновите систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
[B]*[/B] Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3, см.[URL="http://windows.microsoft.com/ru-ru/windows/help/end-support-windows-xp-sp2-windows-vista-without-service-packs?os=xp"]тут[/URL]
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- поставте [URL="http://get.adobe.com/reader/otherversions/"]Adobe Reader 9.4[/URL] или удалите старый.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\application data\\avira\\antivir desktop\\temp\\avscan-20101118-100215-4e333595\\ark12.tmp - [B]Net-Worm.Win32.Kido.ih[/B] ( AVAST4: Win32:Crypt-LBZ [Trj] )[*] c:\\windows\\system32\\isass.exe - [B]Trojan.Win32.Hider.gh[/B] ( DrWEB: Trojan.Hidn, BitDefender: Trojan.Generic.1404508, NOD32: Win32/Hider.I trojan, AVAST4: Win32:Hider-E [Trj] )[/LIST][/LIST]