Трояны, ggdrive32.exe, ошибки...

Printable View

23.01.2011, 14:35
Pomor

Трояны, ggdrive32.exe, ошибки...

[B]Здравствуйте,
[/B]
У меня такая проблемы: программа [B]ggdrive32.exe[/B](видимо червь) в диспетчере задач постоянно, какие то файлы [B]42.exe[/B], [B]38.exe[/B] тоже. Прогу эту находил в поисковике удалял но она все равно возвращается. Что то мне подсказывает что это вирус какой-то. Инет стал постоянно вылетать, скорости совсем нет, виндовс виснет. А посл время стала выходить ещё одна ошибка [B]Generic Host Process for Win32 Services. Инет сразу падает, комп виснет.

Помогите пожалуйста

[/B]
23.01.2011, 14:59
Acidorum

Здравствуйте.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\88.exe','');
QuarantineFile('C:\WINDOWS\system32\80.exe','');
QuarantineFile('C:\WINDOWS\system32\77.exe','');
QuarantineFile('C:\WINDOWS\system32\72.exe','');
QuarantineFile('C:\WINDOWS\system32\66.exe','');
QuarantineFile('C:\WINDOWS\system32\63.exe','');
QuarantineFile('C:\WINDOWS\system32\61.exe','');
QuarantineFile('C:\WINDOWS\system32\56.exe','');
QuarantineFile('C:\WINDOWS\system32\42.exe','');
QuarantineFile('C:\WINDOWS\system32\41.exe','');
QuarantineFile('C:\WINDOWS\system32\30.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
QuarantineFile('C:\WINDOWS\system32\26.exe','');
QuarantineFile('C:\WINDOWS\system32\18.exe','');
QuarantineFile('C:\WINDOWS\system32\13.exe','');
QuarantineFile('C:\WINDOWS\system32\08.exe','');
QuarantineFile('C:\WINDOWS\system32\03.exe','');
QuarantineFile('C:\WINDOWS\system32\01.exe','');
QuarantineFile('C:\WINDOWS\ggdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\removeany.sys','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
DeleteFile('C:\WINDOWS\system32\01.exe');
DeleteFile('C:\WINDOWS\system32\03.exe');
DeleteFile('C:\WINDOWS\system32\08.exe');
DeleteFile('C:\WINDOWS\system32\13.exe');
DeleteFile('C:\WINDOWS\system32\18.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\WINDOWS\system32\30.exe');
DeleteFile('C:\WINDOWS\system32\41.exe');
DeleteFile('C:\WINDOWS\system32\42.exe');
DeleteFile('C:\WINDOWS\system32\56.exe');
DeleteFile('C:\WINDOWS\system32\61.exe');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\66.exe');
DeleteFile('C:\WINDOWS\system32\72.exe');
DeleteFile('C:\WINDOWS\system32\77.exe');
DeleteFile('C:\WINDOWS\system32\80.exe');
DeleteFile('C:\WINDOWS\system32\88.exe');
DelBHO('710EB7A1-45ED-11D0-924A-0020AFC7AC4D');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Повторите логи.
23.01.2011, 16:05
Pomor

карантин выслал. ggdrive32.exe все ещё висит в диспетчере задач. повторяю логи
23.01.2011, 16:16
Acidorum

Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\ggdrive32.exe');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('c:\windows\ggdrive32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Повторите логи.
23.01.2011, 17:18
Pomor

новый карантин выслал. ggdrive32.exe все ещё висит в диспетчере задач. Повторяю логи
23.01.2011, 17:39
Acidorum

Живучий червяк.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\75.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\75.exe');
BC_DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
BC_DeleteFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Повторите логи.
Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].
23.01.2011, 17:51
Bratez

[QUOTE]Platform: [COLOR="Red"][B]Windows XP SP2[/B][/COLOR] (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Систему надо обновлять, иначе эта зараза будет пролазить снова и снова.
23.01.2011, 18:46
Pomor

карантин выслал. ggdrive32.exe живее всех живых) Повторные логи выслал. Ребят объясните нужно сервис пак 3, обновления какие то?
23.01.2011, 18:54
Pomor

Лог mbam
23.01.2011, 19:16
thyrex

Систему обновили?

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все найденное
23.01.2011, 19:29
Pomor

Здравствуйте, обновить конкретно что надо? Поставить Сервис пак 3 и обновить интернет эксплоуер?

[size="1"][color="#666686"][B][I]Добавлено через 51 секунду[/I][/B][/color][/size]

в mbam все удалил
23.01.2011, 19:40
thyrex

[QUOTE='Pomor;759078']обновить конкретно что надо?[/QUOTE][color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

[QUOTE='Pomor;759078']в mbam все удалил[/QUOTE]Обновитеcm и сделайте новый лог МВАМ
26.01.2011, 02:22
Pomor

Здравствуйте ещё раз... Наконец поставил sp3, эксплоуер 8 и обновления. Сделал лог mbam
26.01.2011, 02:32
миднайт

Удалите в mbam:

[CODE]
Заражённые файлы:
c:\WINDOWS\system32\30.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\txyrm.exe (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\36.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\48.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\53.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\62.scr (Trojan.Dropper) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\Q9IJKL6B\yy[1].exe (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\41.exe (Trojan.FakeAlert) -> No action taken.
c:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.
[/CODE]
Повторите лог mbam
26.01.2011, 17:05
Pomor

Вложений: 1

В mbam всё удалил. Извините не понял куда последний код вводить? в AVZ там не подходит вроде: ни шапки и конца нет. Повторный лог mbam прилагаю...
26.01.2011, 18:30
миднайт

Чисто.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните в AVZ скрипт[/url] из файла [URL=http://dataforce.ru/~kad/ScanVuln.txt]ScanVuln.txt[/URL] откройте файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления. (Обратите внимание, при установке сервис паков, обновлении ОС, может потребоваться повторная активация Windows)
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
Что с проблемой?
27.01.2011, 00:10
Pomor

Скрипт сделал он нашел одну уязвимость. обновил. повторно уязвимостей не было найдено. Основная проблема с ggdrive32.exe устранена, ошибка больше не вылазит. посмотрите ещё раз лог mbam - вроде удаляешь все в mbam а зараженные ключи, зараженные параметры реестра всё равно находяться при новом сканировании... В принципе по работоспособности инета притензий нет. может сами по себе они эти зараженные объекты не опасны? Посоветуйте пожалуйста. Лог mbam прилагаю
27.01.2011, 02:06
миднайт

Раньше этих находок не было. Удалите все найденно в mbam в безопасном режиме.
27.01.2011, 03:43
Pomor

Не могу зайти в безопасный режим. При попытке зайти появляется надпись Press ESC to cancel loading [B]SPTD[/B].[B]sys[/B]. и комп перезагружается. SPTD.sys это как я понимаю нормальный драйвер вроде как эмуляторов дисков типа Daemon tools который у меня как раз стоит. Пришлось удалять в обычном режиме виндовс. После перезагрузки сканирую в mbam - новые зараженные объекты. Что посоветуете? лог mbam прилагаю
27.01.2011, 03:48
Pomor

лог mbam
27.01.2011, 05:12
Pomor

На диске С появился странный файл bntr.exe. mbam не видит его как угрозу.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 19 минут[/I][/B][/color][/size]

mbam не находит однако прога remove any видит этот файл как инфицированный - igfxdvc32.exe(windows/system32). В диспетчере задач он при мне появился и сразу исчез. Никаких данных в инете по нему нет. Удалить его нельхя ни в ручную ни через прогу. Походу это вирус.
27.01.2011, 21:18
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
27.01.2011, 23:57
Pomor

лог [B] ComboFix[/B]
28.01.2011, 13:19
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\igfxdvc32.exe

Driver::

Folder::

DDS::
uStart Page: www.apeha.ru

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
29.01.2011, 10:52
Pomor

проблем пока нет. Новый лог comboFix прилагаю
29.01.2011, 10:54
Pomor

лог
29.01.2011, 23:08
polword

- [URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
01.02.2011, 04:45
Pomor

combofix удалил. всем спасибо за помощь!
02.02.2011, 04:45
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]77[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\application data\\bowcav.exe - [B]P2P-Worm.Win32.Palevo.bpim[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\mqpzffb.dll - [B]Trojan-Ransom.Win32.Cidox.gen[/B] ( DrWEB: Trojan.Mayachok.based, BitDefender: Trojan.Generic.6203310, NOD32: Win32/Agent.SFM trojan, AVAST4: Win32:MalOb-HG [Cryp] )[*] c:\\windows\\system32\\01.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\03.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\08.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\13.exe - [B]Trojan.Win32.Pincav.awuz[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\18.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\21.exe - [B]P2P-Worm.Win32.Palevo.bpiw[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\26.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\28.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\28.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\30.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\41.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\42.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\56.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\61.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\63.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\66.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\72.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\75.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\77.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\80.exe - [B]Trojan.Win32.Pincav.awuy[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115184, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\88.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KD.115526, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]