Не стабилен интернет, часики рядом с курсором.

Printable View

16.01.2011, 03:49
Black_moon

Не стабилен интернет, часики рядом с курсором.

Здравствуйте. Своими силами пока не могу победить зловреда. Посему обращусь к знающим людям.
Дело такое:
-На компьютере нестабильный интернет, соединение держится порядка 5 минут, потом обрывается.
-Сразу после запуска ОС Win XP рядом с курсором постоянно моргают песочные часики.
-Процесс services.exe потребляет много памяти, и с каждой секундой значение оспользуемой памяти увеличивается. Может увеличиться с 3 МБ до 800 МБ и больше. Что собственно сказывается на быстродействии системы.
16.01.2011, 03:55
Bratez

Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - - (no file)
O4 - HKLM\..\Run: [msnmsgs] C:\Documents and Settings\Администратор\Application Data\jjjrimi.exe
O4 - HKLM\..\Run: [Driversys] C:\WINDOWS\qomxssm.exe
O4 - HKLM\..\Run: [Taskman] C:\RECYCLER\S-1-5-21-9489766014-6036192484-478562050-1276\csisf.exe
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\ggdrive32.exe
O4 - HKLM\..\Run: [MSODESNV7] C:\WINDOWS\system32\msvmiode.exe
O4 - HKCU\..\Run: [msnmsgs] C:\Documents and Settings\Администратор\Application Data\jjjrimi.exe
O4 - HKCU\..\Run: [Driversys] C:\WINDOWS\qomxssm.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\ggdrive32.exe
O4 - HKUS\S-1-5-18\..\Run: [Driversys] C:\WINDOWS\vnxfxey.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Driversys] C:\WINDOWS\vnxfxey.exe (User 'Default user')
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\71.exe','');
QuarantineFile('C:\WINDOWS\system32\40.exe','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('C:\WINDOWS\vnxfxey.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\ggdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9489766014-6036192484-478562050-1276\csisf.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\jjjrimi.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\jjjrimi.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9489766014-6036192484-478562050-1276\csisf.exe');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\vnxfxey.exe');
DeleteFile('E:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\40.exe');
DeleteFile('C:\WINDOWS\system32\71.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=95403[/url]).
Сделайте новые логи.
16.01.2011, 09:47
Black_moon

Спасибо. Карантин выслал. Кстати есть пара замечаний:
1. Часики рядом с курсором все еще моргают. Если отключить AVAST, то часики перестают моргать.
2. Сам AVAST ругается на некий C:\windows\system32\drivers\zitnpew.sys
16.01.2011, 12:33
thyrex

У нас тоже есть замечание
[QUOTE='Bratez;755978']Сделайте новые логи.[/QUOTE]
16.01.2011, 16:20
Black_moon

[QUOTE]У нас тоже есть замечание[/QUOTE]
Признаю. Был не прав. Вот, пожалуйста, новые логи.
16.01.2011, 16:26
Bratez

Выполните скрипт в AVZ [B]в безопасном режиме[/B]:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9489766014-6036192484-478562050-1276\csisf.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('ekrn');
BC_Activate;
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика, в норм. режиме).
16.01.2011, 17:02
Black_moon

Прогресс

После последнего скрипта часики рядом с курсором перестали моргать. Но процесс services.exe по-прежнему потребляет много памяти (сейчас уже порядка 1,3Гб). И антивирус AVAST постоянно сообщает о рутките C:\windows\system32\drivers\zitnpew.sys Этот файл удаляется антивирусом, но он заново создается и опять удаляется антивирем, и так до бесконечности. Удалось вытащить его (zitnpew.sys) из карантина и проверить на VirusTotal. 26 из 42 показало наличие трояна.
16.01.2011, 17:24
Bratez

Нос вытащили - хвост увяз... Ставьте все обновления безопасности на Windows, вышедшие после SP3, иначе будем лечиться до бесконечности.
После обновлений просканируйте антивирусом со свежими базами в безопасном режиме, затем сделайте новые логи.
16.01.2011, 17:38
Black_moon

Да, есть доп. информация по zitnpew.sys (может поможет?): эта штука упоминается в одном месте реестра - HKLM\SYSTEM\ControlSet002\Services\taskeno
В нем есть ряд параметров, среди которых два - особо интересных:
Строковый параметр _MAIN со значением \??\C:\WINDOWS\system32\MAI63.tmp
и
Строковый параметр ImagePath со значением system32\drivers\zirtnpew.sys

По Вашему совету, [B]Bratez[/B], попробую поставить обновления и просканиться.
16.01.2011, 21:20
Black_moon

Прогресс

К сожалению, обновления с узла Windows Update поставить не могу, т.к. копия ОС не проходит проверку подлинности (хотя ставили ОС в СЦ)...
Просканился Cureit & MBAM (извиняюсь за самодеятельность). Лог MBAM прилагаю. Я так понимаю, все найденное можно снести за ненадобностью. Вот только у меня сомнения по поводу "str.sys" и ключей реестра, которые вызвали подозрения у MBAM. И все еще я не решил вопрос, можно ли безболезненно удалить параметры реестра, указанные мной в предыдущем сообщении данной темы. Подскажите пожалуйста, как быть?
16.01.2011, 21:26
thyrex

На необновленную систему червяк приползет снова

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [code]Заражённые папки:
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413 (Worm.AutoRun) -> No action taken.

Заражённые файлы:
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\4YPLL9NN\xcell[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\051.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\0849.exe (Worm.Email) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\156.exe (Worm.Email) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\178.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\285.exe (Worm.Email) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\30287.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\322.exe (Trojan.Scar) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\335.exe (Trojan.Scar) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\421557.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\435.exe (Trojan.Scar) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\5857522.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\664.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\789570.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\8470414.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\8616827.exe (Worm.Email) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\90867.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\950.exe (Trojan.Scar) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\956.exe (Trojan.Scar) -> No action taken.
c:\documents and settings\администратор\doctorweb\quarantine\97705.exe (Worm.Email) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\1H9DD85A\bnet[1].exe (Trojan.Scar) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\1H9DD85A\99[1].jpg (Extension.Mismatch) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\BLVRZL3S\war[1].gif (Extension.Mismatch) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\SAM16DX3\7p[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\SAM16DX3\8p[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\SAM16DX3\a1[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\ZOJWOPGP\a2[1].exe (Backdoor.NetWorm) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\ZOJWOPGP\gettinglawds[1].jpg (Extension.Mismatch) -> No action taken.
c:\program files\avz4\quarantine\2011-01-14\avz00003.dta (Worm.Email) -> No action taken.
c:\program files\avz4\quarantine\2011-01-15\avz00001.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\quarantine\2011-01-15\avz00002.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\quarantine\2011-01-15\avz00003.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\quarantine\2011-01-15\avz00004.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\quarantine\2011-01-15\avz00005.dta (Trojan.Scar) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-14\avz00003.dta (Worm.Email) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-15\avz00001.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-15\avz00002.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-15\avz00003.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-15\avz00004.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-15\avz00005.dta (Trojan.Scar) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-16\avz00004.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-16\avz00006.dta (Backdoor.NetWorm) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-16\avz00007.dta (Trojan.Agent) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-16\bcqr00013.dat (Trojan.Agent) -> No action taken.
c:\program files\avz4\Старое\quarantine\2011-01-16\bcqr00014.dat (Trojan.Agent) -> No action taken.
c:\Temp\8144.exe (Backdoor.NetWorm) -> No action taken.
d:\старые логи\quarantine\2011-01-16\avz00004.dta (Trojan.Agent) -> No action taken.
d:\старые логи\quarantine\2011-01-16\avz00006.dta (Backdoor.NetWorm) -> No action taken.
d:\старые логи\quarantine\2011-01-16\avz00007.dta (Trojan.Agent) -> No action taken.
d:\старые логи\quarantine\2011-01-15\avz00001.dta (Trojan.Agent) -> No action taken.
d:\старые логи\quarantine\2011-01-15\avz00002.dta (Trojan.Agent) -> No action taken.
d:\старые логи\quarantine\2011-01-15\avz00003.dta (Trojan.Agent) -> No action taken.
d:\старые логи\quarantine\2011-01-15\avz00004.dta (Trojan.Agent) -> No action taken.
d:\старые логи\quarantine\2011-01-15\avz00005.dta (Trojan.Scar) -> No action taken.
d:\старые логи\quarantine\2011-01-14\avz00003.dta (Worm.Email) -> No action taken.
c:\windows\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413\Desktop.ini (Worm.AutoRun) -> No action taken.[/code]
16.01.2011, 22:16
Black_moon

Согласен, необновленная система - это риск заражения. В общем осталось решить несколько вопросов:
1. services.exe все еще потребляет память. И как его отучить - не знаю :(
2. При загрузке ОС открываются "Мои документы" в проводнике.
3. Как безболезненно избавиться от zitnpew.sys. Аваст все время ругается на него, удаляет, а он заново создается. Думаю, что в этом замешана ветка реестра HKLM\SYSTEM\ControlSet002\Services\taskeno:
В ней есть ряд параметров, среди которых два - особо интересных:
Строковый параметр _MAIN со значением \??\C:\WINDOWS\system32\MAI63.tmp
и
Строковый параметр ImagePath со значением system32\drivers\zirtnpew.sys
Можно ли их просто удалить, или необходима более глубокая чистка реестра?
17.01.2011, 00:15
Black_moon

Последнее усилие.

Пока Аваст боролся с "system32\drivers\zirtnpew.sys" я успел создать папку с одноименную папку [B]zirtnpew.sys[/B] в system32\drivers. Теперь в той папке больше файл с таким именем создаться не смог. На этом его "генерация" прекратилась. Аваст замолчал, services.exe упало до 3 МБ :).
Так что, в целом ситуация нормализовалась (я не учитываю оставшихся ссылок в реестре на зловреда). Остался только п.2.
(2. При загрузке ОС открываются "Мои документы" в проводнике). Не может ли это происходить из-за наличия в ветке реестра HKLM\SOFTWARE|Microsoft\WindowsNT\CurrentVersion\Winlogon строкового параметра Driversys - C:\WINDOWS\qomxssm.exe ?? Боюсь что-то там трогать, ведь в случае чего танцы с бубном обеспечены. Подскажите, как быть?

В остальном большое спасибо [B]Bratez[/B] и [B]thyrex[/B] за оказанную помощь!! Надеюсь мы справимся общими усилиями с этой штукой :).
17.01.2011, 10:46
thyrex

Сделайте лог [URL="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/URL]
17.01.2011, 19:29
Black_moon

Вот, пожалуйста, лог ComboFix-а.
17.01.2011, 20:20
Black_moon

Отлично, теперь папка "Мои документы" при старте не запускается :).
А подскажите, пожалуйста такую вещь: можно ли просто удалить строковый параметр, который ссылается на уже не существующий ЕХЕ. Например, параметр Driversys ссалается на C:\WINDOWS\qomxssm.exe. или будет необходимо лазить по всему реестру и вычищать "хвосты". Спрашиваю потому, что ОС как-то долго загружается, полоса загрузки раз 20 пробегает, прежде чем появится экран приветствия. Может это из-за этих "мертвых" ссылок на экзешники??
17.01.2011, 21:32
thyrex

[QUOTE='Black_moon;756677']можно ли просто удалить строковый параметр[/QUOTE]Удаляйте

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\drivers\zirtnpew.sys

Driver::

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
17.01.2011, 21:58
Black_moon

Отчет готов!

P.S. Странно, ComboFix убирает языковую панель. Приходится ctfmon.exe прописывать в реестре.
17.01.2011, 22:21
thyrex

[QUOTE='Black_moon;756720']Приходится ctfmon.exe прописывать в реестре[/QUOTE]После удаления утилиты все бы вернулось само собой

c:\windows\system32\drivers\zirtnpew.sys запакуйте с паролем [B]virus[/B] и пришлите по красной ссылке
17.01.2011, 22:43
Black_moon

[QUOTE=thyrex;756726]После удаления утилиты все бы вернулось само собой

c:\windows\system32\drivers\zirtnpew.sys запакуйте с паролем [B]virus[/B] и пришлите по красной ссылке[/QUOTE]

Дык вот почему-то обратно не вернулось. Ну ладно, это мелочи.

А файла "zirtnpew.sys" там нет-> c:\windows\system32\drivers\. Есть одноименная папка, которую создал я, чтобы перехитрить вирь. Вытащил оригинальный zirtnpew.sys из карантина Аваста.
17.01.2011, 23:08
thyrex

А, это меня папка с толку сбила

[QUOTE='Black_moon;756739']Дык вот почему-то обратно не вернулось[/QUOTE]Ну мы ведь ComboFix и не удаляли еще :)

Что сейчас с проблемой?
17.01.2011, 23:13
Black_moon

Разве что ОС грузится 50 сек., но это уже совсем другой разговор :). А в остальном все возникшие проблемы решились. (эх, надо уже самому научиться решать такие проблемы) Большое спасибо!
18.01.2011, 01:59
thyrex

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]
19.01.2011, 01:59
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\application data\\bowcav.exe - [B]Trojan.Win32.Pincav.avol[/B] ( DrWEB: Trojan.Inject.19711, BitDefender: Trojan.Generic.KD.107862, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-9489766014-6036192484-478562050-1276\\csisf.exe - [B]P2P-Worm.Win32.Palevo.bofe[/B] ( DrWEB: Trojan.Inject.19711, BitDefender: Trojan.Generic.5882029, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\ggdrive32.exe - [B]Net-Worm.Win32.Kolab.rrc[/B] ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KD.109744, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\msvmiode.exe - [B]Email-Worm.Win32.Joleee.gft[/B] ( DrWEB: Trojan.DownLoader1.55003, BitDefender: Gen:Variant.Kazy.8191, NOD32: Win32/SpamTool.Tedroo.AQ trojan, AVAST4: Win32:Crypt-IIF [Trj] )[*] c:\\windows\\system32\\40.exe - [B]Packed.Win32.Krap.ao[/B] ( BitDefender: Gen:Variant.Kazy.6827, AVAST4: Win32:FakeSysdef-L [Trj] )[*] c:\\windows\\system32\\71.exe - [B]P2P-Worm.Win32.Palevo.bofe[/B] ( DrWEB: Trojan.Inject.19711, BitDefender: Trojan.Generic.5882029, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] \\zirtnpew.sys - [B]Rootkit.Win32.Blakken.b[/B] ( DrWEB: Trojan.NtRootKit.9913, BitDefender: Backdoor.Generic.541256, NOD32: Win32/Rootkit.BlackEnergy.AB trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]