ggdrive32.exe, acleaner.exe, xdx.exe.

Printable View

18.02.2011, 20:08
Arverian

ggdrive32.exe, acleaner.exe, xdx.exe.

Вечера доброго. Столкнулся с такой проблемой: перестали открываться страницы, не работает интернет.
Нашел в корне диска файл xdx.exe, в папке recycler файл acleaner.exe, в папке windows ggdrive32.exe, в system32 файлы 25.exe, 53.exe, 55.exe и т.д., в папке пользователя serv.exe, ms.exe, db.exe, bnet.exe.
Удалял, но они появляются снова. Покорнейше прошу помощи.
18.02.2011, 20:17
olejah

Вечера доброго.

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\ggdrive32.exe');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
QuarantineFile('C:\WINDOWS\system32\25.exe','');
QuarantineFile('C:\WINDOWS\system32\53.exe','');
QuarantineFile('C:\WINDOWS\system32\55.exe','');
QuarantineFile('C:\WINDOWS\system32\66.exe','');
QuarantineFile('C:\WINDOWS\system32\68.exe','');
QuarantineFile('C:\WINDOWS\ggdrive32.exe','');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
DeleteFile('C:\WINDOWS\system32\68.exe');
DeleteFile('C:\WINDOWS\system32\66.exe');
DeleteFile('C:\WINDOWS\system32\55.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\25.exe');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Сделайте новые логи + лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
18.02.2011, 20:42
Arverian

Отправил архив. Прикрепляю логи.
Скоро пришлю логи от малавара.
18.02.2011, 21:26
миднайт

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.
- Отключитесь от сети.

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\documents and settings\angel\ms.exe');
TerminateProcessByName('c:\windows\ggdrive32.exe');
QuarantineFile('C:\WINDOWS\system32\77.exe','');
QuarantineFile('C:\WINDOWS\system32\40.exe','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
QuarantineFile('C:\WINDOWS\ggdrive32.exe','');
QuarantineFile('Beep.sys','');
QuarantineFile('c:\windows\ggdrive32.exe','');
QuarantineFile('c:\documents and settings\angel\ms.exe','');
DeleteFile('c:\windows\ggdrive32.exe');
DeleteFile('c:\documents and settings\angel\ms.exe');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
BC_DeleteFile('C:\WINDOWS\ggdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
BC_DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
DeleteFile('C:\WINDOWS\system32\40.exe');
BC_DeleteFile('C:\WINDOWS\system32\40.exe');
DeleteFile('C:\WINDOWS\system32\77.exe');
BC_DeleteFile('C:\WINDOWS\system32\77.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RemoteRegistry', 4);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
18.02.2011, 21:44
Arverian

Лог mbam.
18.02.2011, 21:46
миднайт

Стоп. Вы выполняли мой скрипт или еще нет? Если нет, сообщите, я дополню его новыми данными.
18.02.2011, 21:49
Arverian

Уже выполнил, но новые отчеты еще не создавал. Жду новых данных. Спасибо.
18.02.2011, 22:00
миднайт

Давайте новые логи avz. На их основе и данных с mbam составим новый скрипт. Также не забудьте загрузить карантин.
18.02.2011, 22:12
Arverian

Отправил карантин. Прикрепляю логи.
18.02.2011, 22:33
Arverian

Не знаю, будет ли информация полезной: файлы serv.exe и ms.exe автоматически запускаются из командной строки.
18.02.2011, 22:37
миднайт

Закройте/выгрузите все программы кроме AVZ

- Отключите Антивирус и Файрвол.
- Отключитесь от сети.

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\ggdrive32.exe');
QuarantineFile('c:\xdx.exe','');
QuarantineFile('C:\WINDOWS\system32\03.exe','');
QuarantineFile('C:\WINDOWS\system32\24.exe','');
QuarantineFile('c:\documents and settings\Angel\local settings\temporary internet files\Content.IE5\0TWDARIL\ms[1].exe','');
QuarantineFile('joulfoks.sys','');
QuarantineFile('c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\41A789YV\udv[1].exe','');
DeleteFile('c:\documents and settings\Angel\local settings\temporary internet files\Content.IE5\0TWDARIL\ms[1].exe');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
BC_DeleteFile('C:\WINDOWS\ggdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
BC_DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
DeleteFile('C:\WINDOWS\system32\03.exe');
BC_DeleteFile('C:\WINDOWS\system32\03.exe');
DeleteFile('C:\WINDOWS\system32\24.exe');
DeleteFile('c:\xdx.exe');
DeleteFile('c:\WINDOWS\system32\36.exe');
DeleteFile('c:\WINDOWS\system32\40.exe');
DeleteFile('c:\WINDOWS\system32\77.exe');
DeleteFile('c:\xdx.exe');
BC_DeleteFile('C:\WINDOWS\system32\24.exe');
DeleteFileMask('c:\documents and settings\Angel\local settings\temporary internet files\Content.IE5\', '*.*', true);
DeleteFileMask('c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\', '*.*', true);
DeleteFileMask('c:\RECYCLER', '*.*', true);
BC_ImportAll;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
ExecuteWizard('TSW',2,2,true);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
18.02.2011, 22:55
Arverian

Новые логи. Также отправил карантин.
18.02.2011, 23:29
миднайт

Повторите лог mbam для контроля.
18.02.2011, 23:36
Arverian

Скоро лог будет, но все эти файлы снова появились.
18.02.2011, 23:37
olejah

А Вы это сделали? -
[QUOTE='Olejah;768783']Установите все новые обновления для Windows[/QUOTE]
18.02.2011, 23:52
Arverian

Вроде, установил.
Друзья, сейчас поступлю так: поставлю заново систему, форматнув один винт, почищу другой винт. Затем снова приду с логами, если эта напасть снова появится.
18.02.2011, 23:56
thyrex

[QUOTE='Arverian;768902']Вроде, установил.[/QUOTE]Если бы установили, сетевой червяк не вернулся бы ;)

Пока не торопитесь переустанавливать. Сделайте только лог МВАМ новый
19.02.2011, 01:04
Arverian

Собственно, mbam.
P.S. Пакеты установлены.
19.02.2011, 08:37
olejah

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] -

[CODE]Заражённые параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup (Worm.Palevo.Gen) -> Value: Microsoft Driver Setup -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Driver Setup (Worm.Palevo.Gen) -> Value: Microsoft Driver Setup -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.Palevo) -> Value: Taskman -> No action taken.

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.AutoRun.Gen) -> Bad: (c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe) Good: () -> No action taken.

Заражённые файлы:
c:\WINDOWS\ggdrive32.exe (Worm.Palevo.Gen) -> No action taken.
c:\documents and settings\Angel\ms.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\Angel\local settings\temporary internet files\Content.IE5\UQC7JJKK\ms[1].exe (Worm.Palevo) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\CQNK20CY\m39[1].exe (Worm.Palevo.Gen) -> No action taken.
c:\WINDOWS\system32\25.exe (Worm.Palevo.Gen) -> No action taken.
c:\xdx.exe (Worm.Palevo) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe (Worm.AutoRun.Gen) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.
[/CODE]

- Повторите лог МВАМ
19.02.2011, 17:15
Arverian

Еще логи. Кажется, борьба дает плоды.
19.02.2011, 17:36
Bratez

Удалите в MBAM:
[CODE]Заражённые параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.Palevo) -> Value: Taskman -> No action taken.

Заражённые файлы:
c:\WINDOWS\ggdrive32.exe (Backdoor.IRCBot) -> No action taken.
[/CODE]
Больше ничего плохого не видно.
20.02.2011, 02:55
Arverian

Спасибо Вам, ребята! Надеюсь, эта гадость больше не вернется:)
21.02.2011, 02:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]41[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\acleaner.exe - [B]Worm.Win32.Bybz.ecr[/B] ( DrWEB: Win32.HLLW.Autoruner.46165, BitDefender: Worm.Generic.323741, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\ggdrive32.exe - [B]IRC-Worm.Win32.Small.jg[/B] ( DrWEB: Win32.IRC.Siggen.84, BitDefender: Trojan.Generic.KD.134922, AVAST4: Win32:Crypt-INP [Trj] )[*] c:\\windows\\system32\\25.exe - [B]IRC-Worm.Win32.Small.jg[/B] ( DrWEB: Win32.IRC.Siggen.84, BitDefender: Trojan.Generic.KD.134922, AVAST4: Win32:Crypt-INP [Trj] )[*] c:\\windows\\system32\\53.exe - [B]IRC-Worm.Win32.Small.jg[/B] ( DrWEB: Win32.IRC.Siggen.84, BitDefender: Trojan.Generic.KD.134922, AVAST4: Win32:Crypt-INP [Trj] )[*] c:\\windows\\system32\\55.exe - [B]IRC-Worm.Win32.Small.jg[/B] ( DrWEB: Win32.IRC.Siggen.84, BitDefender: Trojan.Generic.KD.134922, AVAST4: Win32:Crypt-INP [Trj] )[*] c:\\windows\\system32\\66.exe - [B]IRC-Worm.Win32.Small.jg[/B] ( DrWEB: Win32.IRC.Siggen.84, BitDefender: Trojan.Generic.KD.134922, AVAST4: Win32:Crypt-INP [Trj] )[*] c:\\windows\\system32\\68.exe - [B]IRC-Worm.Win32.Small.jg[/B] ( DrWEB: Win32.IRC.Siggen.84, BitDefender: Trojan.Generic.KD.134922, AVAST4: Win32:Crypt-INP [Trj] )[/LIST][/LIST]