Сборник вирусов и троянов

Здравствуйте )
В последнее время какой-то ад с вирусами и троянами на компе ) первый звоночек был с моими сайтами - на них стала прописываться в коде строчка с ифреймом, подгружающая вирусы. Антивирусы молчали. Я делал бэкап, чистил фтп, менял пароли, но все безрезультатно. Для соединений по фтп пользуюсь тотал-коммандером, знаю что его многие ругают, но пароли в нем не храню.
Потом уже Касперский стал что-то периодически находить, но удалить не может, пытается лечить, перезагружает комп, и опять все по-новой.
На компьютере стоит лицензионный Касперский+лицензионный Аутпост файрволл, не спасает (
Прогнал на компе ComboFix, вроде чуть поменьше вирусов стало, но проблемы еще есть. Посмотрите, пожалуйста

[b]Отключите восстановление системы![/b]

Отключив интернет и защитное ПО, выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\waigaprnlib.dll','');
QuarantineFile('C:\WINDOWS\System32\waigapsclib.dll','');
QuarantineFile('C:\WINDOWS\system32\6QTSE7CD\F001.exe','');
DeleteFile('C:\WINDOWS\system32\6QTSE7CD\F001.exe');
DeleteFile('C:\WINDOWS\System32\waigapsclib.dll');
DeleteFile('c:\windows\system32\waigaprnlib.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('OpcEnum');
BC_DeleteSvc('Pml Driver HPZ12');
BC_DeleteSvc('catchme');
BC_DeleteSvc('USBAAPL');
BC_DeleteSvc('ZTEusbmdm6k');
BC_DeleteSvc('ZTEusbnmea');
BC_DeleteSvc('BSuWAcmv');
BC_DeleteSvcReg('WaigSvc');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=94039[/url]).
Сделайте новые логи.

[B]Bratez[/B], спасибо большое за отклик! карантин отправил, только почему-то в нем не оказалось того файла из system32...
Посмотрите, пожалуйста, новые логи. У меня файрволл еще иногда ругается что налево пакеты уходят и инфа, на этот счет посмотрите тоже, если можно

Повторяю: [B][COLOR="Red"]Отключите восстановление системы![/COLOR][/B]
Иначе имеете все шансы восстановить своих троянов в первозданном виде.

В логах больше ничего плохого не видно.
Что с проблемами?

Восстановление системы я отключаю, но какая-то зараза на компе ее врубает, плюс врубает автозапуск с дисков и т.д...
Отключил сейчас снова, стал вручную удалять папку с восстановлением, там остался неудаленным A0005033.exe, пишет что сейчас используется и каспер сразу заверещал, но не удалил его. Каспер вообще ведет себя странно, процесс avp.exe занимает 99% процессорных возможностей, все тормозит...
А так все проблемы на компе начались с моих сайтов - в них стала прописываться строчка с ифреймом и вирусами внутри, которые загружают или яву или pdf; я бэкапил, менял пароли - все безрезультатно, причем проблема не со всеми сайтами, как это обычно бывает, а только с двумя на аккаунте...

[QUOTE='TCT;748259']остался неудаленным A0005033.exe, пишет что сейчас используется и каспер сразу заверещал[/QUOTE]
Попробуйте удалять отключив антивирус.

Не пойму по логам, какая версия касперского у вас? Если KIS, то зачем тогда Аутпост? Может из-за этого тормоза?

файлик удалился
да, у меня KIS 11, Аутпост я поставил чтобы выяснить какие программы ломятся в Интернет и могут высылать мои пароли и т.п. Не нашел где в КИСе можно это смотреть. Попробовал сейчас Аутпост выгрузить - не помогло, все равно avp.exe на 99% загружает ЦП. Аупост мне так приложение не показывает, бывают иногда строчки вида "N/A" или "SYSTEM", которые стучатся на левые айпи адреса, да и сам касперский иногда непонятно куда ломится.. )

[size="1"][color="#666686"][B][I]Добавлено через 29 минут[/I][/B][/color][/size]

останавливаю защиту КИСа, вырубаю прогу, а все равно висит неубиваемый системный процесс avp.exe, который всю систему тормозит... мож трояны покоцали Каспера и его надо снести и заново поставить? или кто-то маскируется под него...

KIS и Outpost нельзя ставить на одну систему. Удалите Outpost, от этого все тормоза.

Аутпост снес, стало чуточку полегче, но все равно avp.exe грузит систему очень сильно (50-70%), бывают затыки в пару секунд, когда как-будто виснет все, причем я заметил что процесса avp.exe 2 штуки, один системный, другой пользовательский, их и должно быть 2?
программулька Malwarebytes' Anti-Malware стала виснуть каждый раз при запуске, чего раньше не наблюдалось...

mbam также удалите, эта утилита для временной проверки и не должна быть постоянно в системе. Возможно после этого тормоза пропадут.

спасибо, тормоза вроде с вашей помощью победил, не могу только победить хрень, которая мне на сайты ифреймы прописывает (( полтора дня все было нормально, я уж обрадовался, а понадобилось войти в админку на сайте провайдера и закачать несколько файлов по фтп через тотал командер, как через некоторое время снова бяка на сайтах. в самом командере я пароль не храню, почти каждый день меняю пароль, на фтп поставил ограничение по для входа по айпи и все равно как-то прокрадывается это все... помогите, пожалуйста

Проверим уязвимости.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните в AVZ скрипт[/url] из файла [URL=http://dataforce.ru/~kad/ScanVuln.txt]ScanVuln.txt[/URL] и приложите к этой теме файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

проверил свою старую системку, было интересно, спасибо )

прилагаю файл, в нем не смог только установить "Накопительное обновление безопасности для браузера Internet Explorer".

вообще, у меня с Эксплолером давняя проблема, он старой версии очень, а новые, например, 7-ой система отказывается ставить. Скачал это обновление безопасности, оно при запуске выдало ошибку. Попутно вспомнил что я сегодня как раз случайно запускал эсплорер, кликнув по ссылке в письме - он с чего-то вдруг стал браузером по умолчанию. Глянул логи предупреждений Касперского, там Эксплолер фигурировал. В итоге плюнул и тупо удалил папку эксплорера из програмс-файлс и поставил везде по умолчанию Оперу. Другого выхода не нашел, все равно им не пользуюсь+не обновишь, чего дырку такую держать. Не знаю правильно сделал или нет )

Вчера залатал дырки, а с утра снова сайтики заражены (
Посмотрел логи Касперского за ночь, он постоянно находил:
[IMG]http://s51.radikal.ru/i134/1012/66/613be2b34184.jpg[/IMG]
[IMG]http://s04.radikal.ru/i177/1012/95/af0f405e0722.jpg[/IMG]
я эти файлы не вижу и не могу удалить, хотя включено везде отображение скрытых...
еще меня смущает файл
[IMG]http://i059.radikal.ru/1012/6e/3d0fc96f56e0.jpg[/IMG]
я его вижу, но не могу удалить, пишет что он в настоящее время используется, пробовал удалять при отключенном Касперском- тоже самое
Подскажите, пожалуйста, как от этих файликов избавиться )

подскажите, пожалуйста )

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Присоединяю лог ComboFix'а

c:\windows\System32\xmlprov.dll восстановите с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\drivers\tcpz-x86d.sys

Driver::
TCPZ
WaigSvc

Folder::
c:\windows\system32\t

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"WaigSvc"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows

Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]

А как быть с двумя зараженными файликами, которые касперский видит постоянно, но не может удалить?

пару дней вроде проблем не было, а вечерком опять сайты заразились (
может по-новой все логи сделать?

[QUOTE='thyrex;749574']Установите все [URL="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/URL] для Windows[/QUOTE]Сделано?

[QUOTE='thyrex;749574']Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.[/QUOTE]Для кого было написано?

извиняюсь, вот отчет

по поводу обновлений - виндовс апдейт не пускает меня, просит эксплорер, а с ним, как я уже писал, проблемы у меня. попробую поскачивать с сайта отдельные заплатки

[QUOTE='thyrex;749574']c:\windows\System32\xmlprov.dll восстановите с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url][/QUOTE]Для кого написано было???

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

файл скопировал, лог прилагаю
заранее извиняюсь, если опять что-то забыл или не так сделал :sorry:

Плохого не видно

а как быть с теми двумя файлами, из 14 поста темы, которые якобы троянами заражены? две минуты назад касперский опять их в отчете упомянул... не обращать внимание?

Антивирус разве не предлагает файлы удалить?

[QUOTE=thyrex;750180]Антивирус разве не предлагает файлы удалить?[/QUOTE]

в том-то и дело, что касперский спокоен, никаких предупреждений, обычных тревожных окошек и т.д., просто если заглядывать в отчет, то там эти файлы фиксируются несколько раз в день.

опять 2 дня прошло норм и снова вирусы прописали строчки на сайте (

Повторите лог virusinfo_syscure.zip . Вы уязвимости закрыли? java в т.ч. обновили?

да, вроде закрыл все дырки, яву тоже обновил с java.com

Лог hijackthis повторите.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] j:\\autorun.inf - [B]Worm.Win32.AutoRun.hmw[/B] ( DrWEB: Trojan.Autorun.14, BitDefender: Trojan.AutorunINF.Gen, NOD32: Win32/AutoRun.IRCBot.FC worm )[/LIST][/LIST]