cwdrive32.exe , msvmiode.exe , ltzqai.exe и т.д.

Printable View

29.11.2010, 21:25
Nikita212

cwdrive32.exe , msvmiode.exe , ltzqai.exe и т.д.

Здравствуйте!

Сегодня заметил на своём компьютере присутствие и активность следующих процессов (вирусов):
[LIST][*]cwdrive32.exe[*]msvmiode.exe[*]ltzqai.exe[*]и всяких разных процессов с численными названиями (аля 82.exe, 84.exe, 34726.exe и т.п.)[/LIST]

Первые два блокируют доступ в Интернет до момента их принудительного убийства через диспетчер задач. Третий - скорее всего подмена оригинального диспетчера задач. Последние - работают буквально в течение полминуты с момента запуска ОС, после чего сменяются на процессы "cwdrive32.exe" и "msvmiode.exe".

Прикладываю логи AVZ и HJT.
29.11.2010, 21:30
olejah

Здравствуйте! Сразу предупреждаю - приготовьтесь к долгой и нудной борьбе.

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\cwdrive32.exe');
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
QuarantineFile('C:\WINDOWS\system32\Drivers\appdrv01.sys','');
QuarantineFile('C:\WINDOWS\ina32.dll','');
QuarantineFile('C:\Documents and Settings\Никита\Application Data\ltzqai.exe','');
QuarantineFile('C:\WINDOWS\system32\84.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\cwdrive32.exe','');
DeleteFile('C:\WINDOWS\cwdrive32.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\system32\84.exe');
DeleteFile('C:\WINDOWS\system32\82.exe');
DeleteFile('C:\WINDOWS\system32\33.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\Documents and Settings\Никита\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]Гмер[/URL]
29.11.2010, 21:59
Nikita212

Выполнил оба скрипта. Прислал файл карантина по ссылке над первым сообщением.

А вот с Gmer-ом у меня возникла проблема. Запустил его, он ничего не спрашивая меня начал проверять систему, через некоторое время написал что моя система подверглась изменениям от вредоносных программ и предложил тут же провести полное сканирование системы. Я согласился, сначала всё проходило нормально, но во время проверки процесса (или файла) Explorer.EXE Гмер и Винда напрочь зависли, только мышка работала, даже диспетчер задач не реагировал. Перезагрузил компьютер, запустил Гмер, отказался от полной проверки системы, присылаю также лог Гмера.
29.11.2010, 22:21
V_Bond

все таки попробуйте выполнить полную проверку ... вашего лога недостаточно
29.11.2010, 23:00
Nikita212

Полную проверку в Гмере так и не удаётся выполнить - программа вместе с операционной системой намертво зависают, причём на разных стадиях сканирования. Пробовал провести проверку и в безопасном режиме - та же проблема.

Также, заметил возвращение процессов "cwdrive32.exe" и "msvmiode.exe" в систему (после выполнения двух скриптов в AVZ из второго поста они на некоторое время исчезли, сейчас вернулись).

Также при запуске системы как в обычном, так и в безопасном режиме, почти сразу само по себе открывается окно "Мои документы", причём слева вместо обычной синей панели с типичными задачами для папок и файлов ("Системные задачи", "Другие места", "Подробно" и т.д.) отображается меню "Папки".

Что делать???

P.S. Продолжу лечение компьютера завтра после 14-ти часов по Москве. А сейчас всем спокойной ночи :)
29.11.2010, 23:10
polword

- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]
30.11.2010, 14:45
Nikita212

День Добрый! :)

Высылаю лог ComboFix.

Во время начальной стадии проверки системы с помощью ComboFix мне вылетело уведомление об ошибке приложения PEV.cfxxe и что оно будет закрыто (с предложением отправить отчет об ошибке в Майкрософт), я нажал кнопку "Не отправлять" и дальше проверка системы прошла без ошибок.

Процессы "msvmiode.exe" и "cwdrive32.exe" вновь вернулись в систему.
30.11.2010, 15:27
polword

Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::
c:\documents and settings\Никита\Главное меню\Программы\Автозагрузка\cvs32.exe
c:\windows\pss\cvs32.exeStartup

Driver::
vwtmch
pblmvbt

NetSvc::
vwtmch
pblmvbt

Folder::

Registry::
[-HKLM\~\startupfolder\C:^Documents and Settings^Никита^Главное меню^Программы^Автозагрузка^cvs32.exe]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1064:TCP"=-
"6768:TCP"=-

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
30.11.2010, 16:02
Nikita212

Сделал. Новый отчёт ComboFix прикладываю.

Во время выполнения сканирования в ComboFix опять же вылетела ошибка приложения "PEV.cfxxe", после чего сканирование успешно продолжилось и завершилось. Что может значить данная ошибка?
30.11.2010, 16:07
snifer67

Скопируйте текст ниже [B]в блокнот[/B] и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[url=http://www.bleepingcomputer.com/forums/topic114351.html]временно выключите антивирус, firewall и другое защитное программное обеспечение[/url]
[CODE]
KillAll::

File::

Driver::

Folder::
c:\documents and settings\??????
Registry::

FileLook::

DirLook::

RegLock::

[/CODE]

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://virusnet.info/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
30.11.2010, 16:44
Nikita212

Вообще, эта папка - [I]c:\documents and settings\??????[/I] - создавалась браузером Opera из-за некорректной работы с кириллическим именем пользователя, но на всякий случай я выполнил скрипт. Лог прикладываю.
Ещё заметил, что после выполнения всех вскриптов в ComboFix и после автоматической перезагрузки компьютера (после скрипта) очень долго формируется лог проверки (около 4-5 минут), а так же в некоторый момент подготовки лога исчезает рабочий стол и панель задач (остаётся только окно ComboFix и фоновый рисунок рабочего стола).

[QUOTE]Во время выполнения сканирования в ComboFix опять же вылетела ошибка приложения "PEV.cfxxe", после чего сканирование успешно продолжилось и завершилось. Что может значить данная ошибка? Это нормально??[/QUOTE]

Также, после выполнения всех операций, начиная со второго поста этой темы, Винда стала намного дольше грузиться (где-то в 3 раза дольше, чем до лечения вирусов). Это нормально, и как с этим можно справиться?
30.11.2010, 19:26
Nikita212

И ещё - что там с карантином, который я присылал?
30.11.2010, 20:00
snifer67

Удалите папку c:\documents and settings\??????

C:\Documents and Settings\Никита\Application Data\ltzqai.exe- [B]Trojan.Win32.Pincav.alvm[/B]
C:\WINDOWS\ina32.dll- [B]Trojan.Win32.Cossta.brj[/B]

Удалите [url=http://virusinfo.info/showpost.php?p=500136&postcount=2] ComboFix[/url]

Что с проблемой?
30.11.2010, 20:41
Nikita212

Папку удалил, но она сама появляется потом:
[QUOTE]Вообще, эта папка - c:\documents and settings\?????? - создавалась браузером Opera из-за некорректной работы с кириллическим именем пользователя[/QUOTE]

ComboFix удалил.

Процессов и явлений, описанных мной в первом посте, после процедуры чистки не наблюдалось.
01.12.2010, 18:05
Nikita212

Теперь система грузится в 3 раза дольше. Также теперь появились какие-то странные лаги во время работы в компе (даже если компьютер только что запустился, ничего не запущено и т.д.) - каждые ~3 секунды компьютер подвисает буквально на долю секунды. Особенно это видно если долго возить мышкой по кругу - заметно, как каждые ~3 секунды мышка подвисает буквально на мгновение. Также это очень мешает в играх.

Что посоветуете для диагностики и исправления двух данных проблем?
До лечения от вирусов подобных проблем не наблюдалось.
01.12.2010, 19:42
light59

Ну давайте ещё раз взглянем на логи avz.
Перед этим почистите систему от мусора [URL="http://download.piriform.com/ccsetup301.exe"]http://download.piriform.com/ccsetup301.exe[/URL]
01.12.2010, 21:57
Nikita212

Вирусы вернулись... :(

Итак, вирусы опять вернулись в мою систему, да ещё и в ещё большем количестве:

[LIST][*] cwdrive32.exe[*] msvmiode.exe[*] ltzqai.exe[*] всякие разные процессы с численными названиями (аля 82.exe, 84.exe, 34726.exe и т.п.)[*] теперь при запуске Винды, после окна "Приветствие" (которое кстати тоже висит теперь раз в 5 дольше обычного) не сразу появляется explorer (сначала показывается только фоновый рисунок), а потом вылетает ошибка процесса Explorer.EXE и после этого через некоторое время explorer возвращается к работе.[/LIST]

У меня уже просто опускаются руки...

Новые логи AVZ прикладываю.
01.12.2010, 22:33
polword

Отключите[B][COLOR="Red"]Обязательно!!! Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\cwdrive32.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\system32\75.exe','');
QuarantineFile('C:\WINDOWS\system32\63.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4576767577-1788570182-120102970-1714\syscr.exe,explorer.exe,C:\Documents and Settings\Никита\Application Data\ltzqai.exe','');
QuarantineFile('C:\Documents and Settings\Никита\Application Data\ltzqai.exe','');
QuarantineFile('c:\windows\system32\86.exe','');
TerminateProcessByName('c:\windows\system32\86.exe');
DeleteFile('c:\windows\system32\86.exe');
DeleteFile('C:\Documents and Settings\Никита\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4576767577-1788570182-120102970-1714\syscr.exe,explorer.exe,C:\Documents and Settings\Никита\Application Data\ltzqai.exe');
DeleteFile('C:\WINDOWS\cwdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\75.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]

После обновления:
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
02.12.2010, 22:07
Nikita212

Скрипты выполнил, не помогло.
Карантин загрузил.
Систему обновил.
Уязвимости устранил.
Логи AVZ и MBAM прикладываю.
Лог HTJ сделаю, если это потребуется - просто на моей машине сканирование компьютера проходит крайне медленно.
02.12.2010, 22:44
Nikita212

up.
02.12.2010, 22:50
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все найденное

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows

После этого делайте новый лог МВАМ
03.12.2010, 11:01
Nikita212

В MBAM всё найденное им удалил.

Обновления для системы сейчас постепенно устанавливаю через автоматическое обновление Windows.

Новый лог MBAM прикладываю.

____________________
Касательно проблемы:

Винда всё ещё продолжает долго загружаться (я имею в виду черный экран с логотипом Windows и синей бегающей полоской загрузки внизу). Загружается примерно раза в три дольше обычного (как было до вирусов).
03.12.2010, 12:53
Nikita212

up.
03.12.2010, 13:19
V_Bond

удалите все найденное в мбам
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Никита\Application Data\ltzqai.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\WINDOWS\system32\02.exe');
DeleteFile('C:\WINDOWS\system32\07.exe');
DeleteFile('C:\WINDOWS\system32\32.exe');
DeleteFile('C:\WINDOWS\system32\47.exe');
DeleteFile('C:\WINDOWS\system32\50.exe');
DeleteFile('C:\WINDOWS\system32\60.exe');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\80.exe');
DeleteFile('C:\WINDOWS\system32\81.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи
03.12.2010, 16:46
Nikita212

в MBAM всё удалил.
скрипт в AVZ выполнил.
высылаю логи AVZ.

также нашёл в папке C:\WINDOWS\system32\ очень подозрительное приложение "appdrvrem01.exe". Оказывается, оно работало первые 15-20 секунд после запуска системы и делало неизвестно что. Датой его создания был день до заражения вирусами моего компьютера. Погуглил его - сказали, что это вирус. Удалил его вручную (через проводник).

Проблемы с запуском системы не прошли.
03.12.2010, 16:57
Nikita212

также компьютер немного подвисает каждые три секунды.
подвисают игры, мышка, видео и музыка.
жутко бесит.
03.12.2010, 18:30
snifer67

Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=40118[/url]
04.12.2010, 18:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]35[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\никита\\application data\\ltzqai.exe - [B]Trojan.Win32.Pincav.alvm[/B] ( DrWEB: Trojan.Inject.15217, BitDefender: Trojan.Generic.5320171, NOD32: Win32/Bflient.K worm, AVAST4: Win32:AutoRun-BRP [Trj] )[*] c:\\documents and settings\\никита\\application data\\ltzqai.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.KDV.78489, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\cwdrive32.exe - [B]Trojan.Win32.VB.amsj[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.5159645, AVAST4: Win32:Malware-gen )[*] c:\\windows\\ina32.dll - [B]Trojan.Win32.Cossta.brj[/B] ( DrWEB: Trojan.Siggen.11347, BitDefender: Trojan.Spy.Delf.OAG, NOD32: Win32/PSW.Tibia.NAP trojan )[*] c:\\windows\\system32\\msvmiode.exe - [B]Email-Worm.Win32.Joleee.fmf[/B] ( DrWEB: Trojan.Spambot.9106, BitDefender: Gen:Variant.Kazy.3567, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]