Trojan.PWS & Trojan.Proxy & Trojan.DownLoader + маленькая тележка

Printable View

17.05.2007, 11:10
Dihlophos

Trojan.PWS & Trojan.Proxy & Trojan.DownLoader + маленькая тележка

[B][SIZE=3]Кратко:[/SIZE][/B][INDENT][COLOR=DarkGreen] Avast![/COLOR]:[LIST][*][COLOR=Red] Win32:Goldun-IB[Trj][/COLOR][*][COLOR=Red] Win32:Banker-PGS[Trj][/COLOR][*][COLOR=Red] Win32.Agent-FTK [Wrm][/COLOR][/LIST][COLOR=DarkGreen]DrWeb - CureIT![/COLOR]:[LIST][*][COLOR=Red] Trojan.PWS.LDPinch.1607[/COLOR][*][COLOR=Red] Trojan.PWS.LDPinch.1744[/COLOR][*][COLOR=Red] Trojan.PWS.LDPinch.1757[/COLOR][*][COLOR=Red] Trojan.PWS.LDPinch.1798[/COLOR][*][COLOR=Red] Trojan.Proxy.1800[/COLOR][*][COLOR=Red] Trojan.DownLoader.22375[/COLOR][/LIST]При чём два последние неубиваемые.[/INDENT][B][SIZE=3]Замечание[/SIZE][/B][INDENT] Сразу прошу прощения за некоторый сумбур и за то, что прикрепил файлов вдвое больше, чем было рекомендовано в правилах. Но это не потому, что я не читал. Я их полностью читал![COLOR="Red"] { moderated}[/COLOR][/INDENT][B][SIZE=3]Послесловие[/SIZE][/B][INDENT]Большое спасибо, если поможете мне.[/INDENT]
17.05.2007, 13:20
drongo

Наконец , уже лучше .Сейчас посмотрю логи.
17.05.2007, 13:21
Dihlophos

Спасибо. Извините, что прикрепил не так, как надо. Что-то я стормозил, хоть на картинку и глядел :embarasse.

Постараюсь сделать более коректные логи без Avast! и Symantec и правильно их загрузить.
17.05.2007, 13:29
Bratez

Для удаления оставшихся компонент Symantec'a:

1. Запустить окно командной строки и выполнить команды:
[B]sc stop "Symantec Core LC"
sc delete "Symantec Core LC"[/B]

2. Выполнить скрипт в AVZ:
[code]
begin
BC_DeleteSvc('symlcbrd');
BC_DeleteFile('C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcnet.dll');
BC_DeleteFile('C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\symlcbrd.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
17.05.2007, 13:33
drongo

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.[/url]
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\flcon.dll','');
QuarantineFile('C:\WINDOWS\system32\swmclip.dll','');
QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
QuarantineFile('C:\WINDOWS\svchоst.exe','');
QuarantineFile('C:\WINDOWS\csrss.exe','');
DeleteFile('C:\WINDOWS\csrss.exe');
DeleteFile('C:\WINDOWS\svchоst.exe');
DeleteFile('C:\WINDOWS\system32\perfc000.dat');
BC_ImportQuarantineList;
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(7);
ExecuteRepair(12);
RebootWindows(true);
end.
[/code]

[I]Если не будет рабочего стола после пункта 1:
Надо нажать CRTL+ALT+DEL. В появившемся диспетчере задач нажать кнопку "Новая задача", и в открывшемся окне выбора файла выбрать avz.exe и нажать OK.A затем выполнить предложенный скрипт. [/I]

Будет автоматическая перезагрузка после пункта 1 ,в любом случае пункт 2 и 3 выполнить .
2.[url=http://virusinfo.info/showthread.php?t=7239]AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.[/url]
[code]
begin
ExecuteRepair(8);
ExecuteRepair(16);
RebootWindows(true);
end.
[/code]
Будет автоматическая перезагрузка после пункта 2.

3.Прислать весь карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=9800[/url]...

[B][COLOR="Green"]P.S. Лечение не закончено. Выполните то,что сказал Bratez и я, продолжение следует ...[/COLOR][/B]
17.05.2007, 21:35
Dihlophos

Карантин прислал.

Есть одно уточнение, касающееся выгрузки avast!
Я выяснил - цивилизованно выгрузить avast! нельзя. Я сделал это вручную, и вот как:
[LIST=1][*]Отключил “защиту доступа” в меню резидентной программы (которая висит в трее)[*]Остановил службы (Пуск -> Панель управления -> Администрирование -> Службы)
[LIST][*]“[COLOR="Blue"]avast! Antivirus[/COLOR]”[*]“[COLOR="blue"]avast! iAVS4 Control Service[/COLOR]”[/LIST][*]Завершил процесс “[COLOR="blue"]ashDisp.exe[/COLOR]” через диспетчер задач (нажав CTRL+ALT+DEL)[/LIST]
Я подумал, может это будет интересно, раз тут немало людей пользуется этим антивирусом.

И ещё у меня есть одно небольшое замечание, касающееся работы этого сайта. После загрузки карантина появилось окно, свидетельствующее об этом. Там была строчка:

“[COLOR="DarkOliveGreen"]Файл сохранён как/td> 070517_211843_virus_464c8e7305eef.zip[/COLOR]”

Исправьте, пожалуйста, тег “[COLOR="Blue"]</td>[/COLOR]”.

И большое вам спасибо за помощь.
17.05.2007, 21:45
drongo

Поменяйте пока пароли от всего, если вы говорите что пинч был.
Спасибо за замечания, примем к сведению. Если бы вы ещё картинки к манипуляциям с авастом сделали - было бы просто замечательно.
17.05.2007, 22:55
Dihlophos

Уважаемый drongo!

Так как Вы ранее писали
[QUOTE]P.S. Лечение не закончено. Выполните то,что сказал Bratez и я, продолжение следует...[/QUOTE]то как относится к Вашим словам об изменении паролей? Насколько это безопасно сейчас?
Продолжение будет или нет? :)

[B]P.S.[/B]: А куда картинки скидывать с avast!ом?
18.05.2007, 03:08
Alex_Goodwin

Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\flcon.dll',);
ExecuteSysClean;
BC_ImportDeletedList;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(7);
ExecuteRepair(12);
RebootWindows(true);
end.[/code]
Меняйте пароли срочно!!!
Давайте новые логи.
А картинки и описалово - это в другой раздел форума [url]http://virusinfo.info/forumdisplay.php?f=39[/url], там ваши рекомендации буду кстати.
18.05.2007, 07:46
drongo

Понимать [B]в прямом[/B] смысле, пароли поменять от всего. Мыло, аськи , банки, сайты . во общем что не успеете поменять- то пропало.
Хорошая у вас коллекция, даже свеженький пинч есть.
[code]
Здравствуйте,

avz00001.dta

Вредоносный код в файле не обнаружен.

avz00002.dta,
bcqr00001.dat,
bcqr00002.dat - not-a-virus:AdWare.Win32.Delf.l

Это файлы от рекламной системы. Такие файлы детектируются
расширенным набором баз. Подробная информация о
расширенных базах: http://www.kaspersky.ru/extraavupdates

avz00003.dta,
bcqr00005.dat,
bcqr00006.dat - Backdoor.Win32.Small.os,

avz00004.dta - Trojan.Win32.Agent.alv

Эти файлы определяются антивирусом. Обновите антивирусные базы.

avz00005.dta - Trojan-PSW.Win32.LdPinch.bzs

Детектирование файла будет добавлено в следующее обновление.

Пожалуйста, при ответе включайте переписку целиком.

--
С уважением, Дмитрий Швецов
Вирусный аналитик Лаборатории Касперского.
e-mail: [email protected]
http://www.kaspersky.com/

http://www.kaspersky.ru/virusscanner - Онлайн тестирование самыми свежими KAV-базами.
http://www.kaspersky.com/helpdesk.html - техническая поддержка

> Attachment: 070517_211843_virus_464c8e7305eef.zip

> VirusInfo Из темы http://virusinfo.info/showthread.php?t=9800 070517_211843_virus_464c8e7305eef.zip
>
_______________________________________________
Suspected mailing list
[email protected]
http://mail.virusinfo.info/mailman/listinfo/suspected_virusinfo.info
[/code]

Где же ваши новые логи, о которых говорил Alex Godvin ? Перед этим выполните его скрипт. Надо посмотреть, что осталось.
18.05.2007, 13:49
Dihlophos

Всё выполнил.
Вот логи.
Спасибо за предупреждение по поводу паролей.
18.05.2007, 14:17
drongo

1.Давайте ещё раз вот такой :
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\flcon.dll');
DeleteFile('C:\WINDOWS\system32\swmclip.dll');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
2. Пофиксить в HijackThis следующие строчки ( [URL]http://virusinfo.info/showthread.php?t=4491[/URL] )
[code]

O2 - BHO: Flash Console v.4.1 - {BCC8A4AB-C055-461E-B4B5-1B0EA8647897} - C:\WINDOWS\system32\flcon.dll
O21 - SSODL: VStorage - {13B3A7EB-9A97-469D-AD40-0D8266EC6469} - swmclip.dll (file missing)

[/code]
3. Сделать новые логи! ( не забудете запустить эксплорер перед выполнением каждого лога)
18.05.2007, 15:44
anton_dr

[QUOTE=Dihlophos;110446]И ещё у меня есть одно небольшое замечание, касающееся работы этого сайта. После загрузки карантина появилось окно, свидетельствующее об этом. Там была строчка:

“[COLOR="DarkOliveGreen"]Файл сохранён как/td> 070517_211843_virus_464c8e7305eef.zip[/COLOR]”

Исправьте, пожалуйста, тег “[COLOR="Blue"]</td>[/COLOR]”.

И большое вам спасибо за помощь.[/QUOTE]

Вам спасибо, за очередное напоминание :) Давно собирался убрать, но все забывал. Пофиксено.
19.05.2007, 03:21
Dihlophos

Строки пофиксил.
Логи сделал.
Эксплорер загрузить не забыл. :)
19.05.2007, 12:36
drongo

Пришлите эти файлы , они мне не нравятся.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\a297622c84708fc6530949\update\update.exe','');
QuarantineFile('C:\afb7af10ef0deda008315655293ed188\update\update.exe','');
QuarantineFile('C:\Program Files\ABBYY FineReader 8.0 ProfessionalEdition\fr8.1.3.patch.exe','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_copy.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
20.05.2007, 02:48
Dihlophos

Карантин закачал.
Логи прислать не могу - я исчерпал лимит.

[B]P.S.[/B]: Тема в FAQ про то, как выгрузить avast! для меня закрыта.
А у меня картинки на подходе, да и более развёрнутое и корректное описание процесса тоже...
20.05.2007, 06:38
Bratez

[QUOTE]Логи прислать не могу - я исчерпал лимит.[/QUOTE]
Логи пока не нужны - скрипт карантина ничего не изменяет.
Потом просто удалите старые вложения, и можно будет прикрепить новые.
20.05.2007, 15:28
Alex_Goodwin

[QUOTE=Dihlophos;110780]
[B]P.S.[/B]: Тема в FAQ про то, как выгрузить avast! для меня закрыта.
А у меня картинки на подходе, да и более развёрнутое и корректное описание процесса тоже...[/QUOTE]

Отправьте в личку Дронго, копирайт за вами.
21.05.2007, 18:54
Dihlophos

У меня вопрос по теме - так всё чисто?
21.05.2007, 19:44
Макcим

Вы сделали новые логи?
21.05.2007, 20:43
Dihlophos

Сделать-то я их сделал, но вот уважаемый [B]Bratez[/B] говорит [QUOTE]Логи пока не нужны[/QUOTE]По-этому я сижу, курю бамбук и жду руководящих указаний. :)
22.05.2007, 01:09
Bratez

[QUOTE]По-этому я сижу, курю бамбук и жду руководящих указаний. [/QUOTE]
А все ждали, пока ЛК проверит 4Мб-ный карантин ;)
Проверили. Мин нет. Так что все у вас хорошо.
22.05.2007, 11:54
Dihlophos

Огромное спасибо! :)
С меня - картинки по avast! и ещё туча заражённых компьютеров :))) Их есть у меня :)