Помогите убить Backdoor.win32.small.os

Printable View

14.05.2007, 23:23
Natrix

Помогите убить Backdoor.win32.small.os

Здравствуйте.
Касперский обнаруживает этот вирус, но вылечить не может. Постоянно создается файл perfc000.dat и параметр (не помню как называется) в реестре для его автозагрузки. Сейчас добавилась и еще одна проблема: загрузка ЦП процессом рнр.ехе, которых появляется 5-10 экземпляров.

PS: старалась четко следовать правилам. Пожалуйста, если не трудно, опишите нужные мне действия поподробней - я в этом вопросе чайник :embarasse .
15.05.2007, 00:14
Muffler

AVZ -> Файл -> Выполнить скрипт:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\NVCPL.DLL','');
QuarantineFile('C:\WINDOWS\system32\repl.dll','');
QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
QuarantineFile('C:\WINDOWS\csrss.exe','');
QuarantineFile('C:\WINDOWS\system32\swmclip.dll','');
QuarantineFile('c:\windows\winlogon.exe','');
QuarantineFile('c:\windows\smss.exe','');
QuarantineFile('c:\windows\dsrss.exe','');
DeleteFile('c:\windows\smss.exe');
DeleteFile('c:\windows\winlogon.exe');
DeleteFile('C:\WINDOWS\csrss.exe');
DeleteFile('C:\WINDOWS\system32\perfc000.dat');
DeleteFile('C:\WINDOWS\dsrss.exe');
ExecuteSysClean;
ExecuteRepair(13);
RebootWindows(false);
end.[/CODE]

После выполнения, система перегрузится.
После перезагрузки, отправте карантин AVZ нам [U]по правилам[/U].
И повторите п. 10-14 из правил.
15.05.2007, 10:42
Natrix

Карантин отправила. Хочу заметить, что после выполнения скрипта компьютер не перезагрузился. Пришлось нажать ресет. Это нормально?
Еще вспомнила такие проблемы: не загружался безопасный режим и неработала автоматическая авторизация на форумах. Это тоже связано с вирусами?
15.05.2007, 11:34
Rene-gad

[QUOTE=Natrix;109789]Хочу заметить, что после выполнения скрипта компьютер не перезагрузился. [/QUOTE]
Это хорошо :) . Не хорошо, однако, не выполнять правила в [B]точности[/B]: При выполнении логов нужно выключать [B]все приложения[/B], кроме АВЗ.
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('\??\repl.dll');
BC_DeleteFile('\??\repl.dll');
DeleteFile('\??\swmclip.dll');
BC_DeleteFile('\??\swmclip.dll');
DeleteFile('\??\dsrss.exe');
BC_DeleteFile('\??\dsrss.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После перезагрузки повторите логи [B][URL="http://virusinfo.info/showthread.php?t=1235"]по правилам[/URL][/B].
15.05.2007, 13:51
Natrix

Извиняюсь за нарушение. Если опять что не так, ткните, пожалуйста, конкретно :) А то так и не пойму в чем дело.
Мне добавилась новая проблема. Мой провайдер сказал, что с моего адреса идут дос-атаки на сервер. Help!!!
15.05.2007, 14:34
Natrix

Возникли сомнения. При выполнении ваших скриптов восстановление системы должно быть все еще выключено? Если да, то когда его нужно включать и надо ли мне запустить скрипт еще раз?
15.05.2007, 14:36
Bratez

[B]Восстановление системы должно быть выключено.[/B]

Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {1E6CE4CD-161B-4847-B8BF-E2EF72299D69} - (no file)
O2 - BHO: Hook Class - {DBA0F35F-BCD6-4602-863A-96893E4DE018} - C:\WINDOWS\system32\repl.dll (file missing)
O21 - SSODL: VStorage - {ED20A579-49F4-41A4-A30C-7336A9383EDC} - (no file)
[/code]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Ati2evxx.exe','');
QuarantineFile('C:\WINDOWS\system32\ati2sgag.exe','');
QuarantineFile('C:\WINDOWS\LogWatNT.exe','');
QuarantineFile('C:\WINDOWS\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\muid.exe','');
QuarantineFile('C:\WINDOWS\system32\exportl.exe','');
QuarantineFile('C:\WINDOWS\system32\12520850h.exe','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
15.05.2007, 15:04
Natrix

Карантин отправила
15.05.2007, 15:23
Bratez

Не очень удачно. Выполните еще этот скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Ati2evxx.exe','');
QuarantineFile('C:\WINDOWS\LogWatNT.exe','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите новый карантин, если конечно он не окажется пустым.
15.05.2007, 15:34
Muffler

Плюс вот такой скрипт:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\repl.dll','');
BC_DeleteFile('C:\WINDOWS\system32\repl.dll');
BC_ImportQuarantineList;
BC_Activate;
ExecuteSysClean;
RebootWindows(false);
end.
[/CODE]
После выполнения, система перегрузится.
После перезагрузки, отправте карантин AVZ нам по правилам.
И повторите п. 10-14 из правил.
15.05.2007, 15:43
Natrix

[quote=Bratez;109860]После перезагрузки пришлите новый карантин, если конечно он не окажется пустым.[/quote]
Карантин отправлен.
15.05.2007, 15:50
Natrix

[quote=Muffler;109864]После перезагрузки, отправте карантин AVZ нам по правилам.
И повторите п. 10-14 из правил.[/quote]
Готово.
15.05.2007, 15:55
Bratez

Что ж такое, опять старый ati2sgag.exe, а эти два не хотят!
[B]C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\LogWatNT.exe[/B]
Поищите вручную эти два файла.
Но если Вы скажете, что их нет, а проблема остается - тогда я пас :)
15.05.2007, 16:04
Muffler

[quote=Bratez;109877]Что ж такое, опять старый ati2sgag.exe, а эти два не хотят!
[B]C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\LogWatNT.exe[/B]
Поищите вручную эти два файла.
Но если Вы скажете, что их нет, а проблема остается - тогда я пас :)[/quote]

Скорее всего они в базе безопасных...
15.05.2007, 16:11
Muffler

[B]Natrix[/B], узнайте у провайдера, есть ли ещё дос атаки с вашего IP.
Если нет, значит больше зверей в системе нет.
Также, измените все пароли(email, icq и т д).

Вот список того что было найдено и убито у вас в системе:
Backdoor.Win32.Small.os
Trojan-Spy.Win32.Webmoner.ce,
Trojan-Proxy.Win32.Procin.j,
Trojan-Spy.Win32.Sters.an,
Trojan-Spy.Win32.KeyLogger.lp
+
последний был скорее всего Trojan.Win32.Agent.agx
15.05.2007, 16:12
Natrix

Да, эти файлы есть.
15.05.2007, 16:17
Natrix

Какой огромный список! Огромное спасибо!
Атак сейчас вроде нет.
А то, что эти файлы остались не страшно? И perfc000.dat по-прежнему присутствует.
Восстановление системы можно включать?
15.05.2007, 16:33
Muffler

C:\WINDOWS\system32\Ati2evxx.exe - ATI External Event Utility for WindowsNT and Windows9X
C:\WINDOWS\LogWatNT.exe - belongs to the software Computer Associates LogWatNT

perfc000.dat - удалите вручную...

Проверте загрузку системы в SafeMode. Если не загружается, тогда выполните вот такой скрипт:

[CODE]begin
ExecuteRepair(10);
end.[/CODE]

После этого можна включить восстановление системы.
15.05.2007, 16:48
Natrix

Файл удалила. Два первых тоже надо удалить?
Скрипт выполнила, но не помогло :(
15.05.2007, 16:50
Bratez

[QUOTE]Два первых тоже надо удалить?[/QUOTE]
Не надо! :)
15.05.2007, 16:53
Bratez

Бывает, что компьютер входит в безопасный режим очень долго (10 минут и более!), при этом экран черный, и кажется, что он висит, но надо просто набраться терпения... :)
15.05.2007, 17:00
Muffler

И ещё,
[B]Natrix[/B], проверте свою домашюю страничку...
Вот что я нашол в её исходном коде:

[PHP]<iframe src='*' width='1' height='1' style='visibility: hidden;'></iframe>
<iframe src='*' width='1' height='1' style='visibility: hidden;'></iframe>
<iframe src='*' width='1' height='1' style='visibility: hidden;'></iframe>[/PHP]

[B][SIZE="4"][COLOR="Red"]Измените все пароли![/COLOR][/SIZE][/B]
15.05.2007, 17:20
Natrix

[QUOTE]Бывает, что компьютер входит в безопасный режим очень долго (10 минут и более!), при этом экран черный, и кажется, что он висит, но надо просто набраться терпения[/QUOTE]
Понятно :)
[B][QUOTE]
[B]Natrix[/B], проверте свою домашюю страничку
[/QUOTE]
Это говорит о взломе пароля?

СПАСИБО всем за помощь![/B]

Текущее время: 03:12. Часовой пояс GMT +3.

Page generated in 0.00197 seconds with 10 queries