Win32.Agent.u-Win32/Spabot.Nac trojan

Здравствуйте!Как говориться доброе время суток!Начиная с 18.05 мой компютер странно себя ведет.Во первых при запуске Windows Explorer-а машина перезагружается.Нашел способ просмотра файлов стартуя сразу My Computer.До этого стоял антивирус Frpot.Поменял на NOD32.Дело в том что файл с именем cp1041.nls появляется после каждой загрузки и NOD32 его обнаруживает и ставить в карантин.Я прочитал что у кого-то был такой случай и Вы эму помогли избавиться.Прошу помочь мне тоже.Требуемые логи вложил.

Прозьба к хелперам, скарантинте ndis.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\zeta.exe','');
QuarantineFile('C:\WINDOWS\DOWNLO~1\xscan53.ocx','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\int_ver32b.ocx','');
QuarantineFile('C:\WINDOWS\WinSecurity\services.exe','');
QuarantineFile('NDIS.sys','');
DeleteFile('C:\WINDOWS\Downloaded Program Files\int_ver32b.ocx');
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory+'virus.zip');
RebootWindows(false);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O16 - DPF: {0D62A517-E7C6-4E1F-A577-07D4AC549A48} (Progetto1.int_ver32) - http://advnt01.com/dialer/int_ver32b.CAB[/CODE]
Загрузите файл virus.zip из папки AVZ по [URL="http://virusinfo.info/upload_virus.php?tid=9945"]этой[/URL] ссылке.

[quote=Muffler;111356]Прозьба к хелперам, скарантинте ndis.[/quote]
Если это относиться ко мне то прошу ответте как скарантинить ndis.sys через AVZ или NOD32?Кстати файл ndis.sys весить 260К и модифицирован как раз 18.05.

Вы хелпер? :D

[quote=MaXim;111364][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\zeta.exe','');
QuarantineFile('C:\WINDOWS\DOWNLO~1\xscan53.ocx','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\int_ver32b.ocx','');
QuarantineFile('C:\WINDOWS\WinSecurity\services.exe','');
QuarantineFile('NDIS.sys','');
DeleteFile('C:\WINDOWS\Downloaded Program Files\int_ver32b.ocx');
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory+'virus.zip');
RebootWindows(false);
end.[/code]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [code]O16 - DPF: {0D62A517-E7C6-4E1F-A577-07D4AC549A48} (Progetto1.int_ver32) - http://advnt01.com/dialer/int_ver32b.CAB[/code]
Загрузите файл virus.zip из папки AVZ по [URL="http://virusinfo.info/upload_virus.php?tid=9945"]этой[/URL] ссылке.[/quote]
После выполнения скрипта в AVZ компютер перезагружаеться и к сожалинию в папке AVZ не формируеться архив virus.zip.Продолжать с HijackThis или отправите новый скрипт?

Запакуйте карантин вручную в zip-архив с паролем [I]virus[/I] и пришлите нам [U]по правилам[/U].

Все сделал.Теперь жду новых инструкций.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
ClearQuarantine;
BC_QrFile('C:\WINDOWS\zeta.exe');
BC_QrFile('C:\WINDOWS\DOWNLO~1\xscan53.ocx');
BC_QrFile('C:\WINDOWS\Downloaded Program Files\int_ver32b.ocx');
BC_QrFile('C:\WINDOWS\WinSecurity\services.exe');
BC_QrFile('C:\WINDOWS\system32\drivers\ndis.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите файлы карантина по правилам.

К сожалению не удается загрузить Вам файл карантина.Пробовал 4 раза.Может быт разрешите отправить на мейл?Если да то по какому адрессу?

Здесь цитатта сообщения :

The requested URL could not be retrieved

--------------------------------------------------------------------------------

While trying to retrieve the URL: [url]http://virusinfo.info/upload_virus.php[/url]

The following error was encountered:

Read Timeout
The system returned:

[No Error]
A Timeout occurred while waiting to read data from the network. The network or server may be down or congested. Please retry your request.

[QUOTE=ratat;111476]К сожалению не удается загрузить Вам файл карантина.Пробовал 4 раза.[/QUOTE]

И загрузили его 4 раза... не... уже пять, Вы этот же файл ещё вчера прислали.

Закачайте карантин через [url=http://virusinfo.info/upload_virus.php?tid=9945]эту[/url] ссылку.

[b]Shu_b[/b], тот карантин был после первого скрипта...

Извините если получили новый файл карантина 4 раза.Просто у меня выходило сообщение об ошибке.На этот пятый раз файл загрузился нормально по указанной ссылки.Жду дальнейших указаний.

Edit:Скорее всего следовало спросить загружать в таком случае в пятый раз или нет,но этого уже не исправить.Прошу прощения!

Только что заметил что папка карантина от сегодня утром(после выполнения второго скрипта) пустая.Не уверен если ее получили.Нужно отправлять еще раз?

Ребятя!Оказывается что папка карантина формировалась у меня на десктопе(это из за того что я вывел себе икону AVZ на десктопе и от туда стартовал) и до сих пор отправлял Вам карантин до выполнения скриптов(потому что брал их от папки,которая на диске).Отправить тот карантин,который после выполниния?

[QUOTE=ratat;111678]Отправить тот карантин,который после выполниния?[/QUOTE]

Его от Вас и ждут...

Все.Отправил.Еще раз прошу прощения!Сообщите если опять не то.

Напомнить о себе и заодно спросить если чего еще надо отправлять?А так в основном жду ответа или инструкций.

[QUOTE=ratat;111807]Напомнить о себе и заодно спросить если чего еще надо отправлять?А так в основном жду ответа или инструкций.[/QUOTE]

Из всего запрошенного в карантин попал только xscan53.ocx.
попробуйте поискать остальное ;-)

C:\WINDOWS\DOWNLO~1\xscan53.ocx - попавший в карантин чистый.
Карантин, полученный после скрипта из мсж 9, получен не был.
Повторите скрипт + четвертой снизу строчкой вставьте
BC_LogFile(GetAVZDirectory + 'boot_clr.log');

Файл boot_clr.log приложите к сообщению

Да так оно и есть.Этот файл попал в карантин после выполнения первого скрипта-22.05.07,а после выполнения второго папка карантина от 23.05.07 пустая.Как быть дальше?

Загрузиться в SafeMode и в AVZ поискать файлы, указанные в скрипте.
если найдутся, то есть кнопочка "Добавить в карантин" и загрузить.
Особенно C:\WINDOWS\WinSecurity\services.exe. По многочисленным признакам это зловред.

Сделал как велели.Нашелся(т.е успешно скарантинился)только ndis.sys и поставил в карантин.Отправляю.Services.exe у меня в двух папок System32 и Dllcashe и он почему то не заходить в карантин.Выдается сообщение об ошибке.А так скопировать его в другом месте можно и тогда скорее всего смогу и заархивировать.Делать этого?

[QUOTE=ratat;111853]Services.exe у меня в двух папок System32 и Dllcashe и он почему то не заходить в карантин.Выдается сообщение об ошибке.А так скопировать его в другом месте можно и тогда скорее всего смогу и заархивировать.Делать этого?[/QUOTE]
Это правильные они не нужны.

Тогда просто профиксим строчки в Hijackthis.
[CODE]O4 - HKLM\..\Run: [Windows] C:\WINDOWS\WinSecurity\services.exe
O4 - HKCU\..\Run: [_Windows] C:\WINDOWS\WinSecurity\services.exe
[/CODE]

Присланный ndis.sys - подмененный. С ним придется немного помучаться.

На счет ndis.sys.

[B]Скачайте патч, приатаченый к этому сообщению.[/B]

Удалите драйвер ndis.sys вручную, или вот таким скриптом AVZ:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteFile('C:\WINDOWS\system32\drivers\ndis.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]

[B][COLOR="Red"]После перезагрузки, пропадут все сетевые устройства и небудет интернета.[/COLOR][/B]

Воспользуйтесь патчем для востановления ndis.sys, и перегрузите систему.


[attach]10580[/attach]

[B][COLOR="Red"]Если[/COLOR] [/B][B]после[/B] патча интернет не появиться, можно потом этими утилитами попытаться восстановить интернет :
[url]http://cexx.org/lspfix.htm[/url]
[url]http://www.iup.edu/house/resnet/WinsockXPFix.exe[/url]
[B]их надо скачать, перед удалением ndsis.sys[/B]
P.S. если появиться , то конечно не надо !в любом случае утилиты полезные и должны быть в каждом компе ;)

Пока что еще ничего не сделал из вышеперечисленных.Хотелось быть навести порядок.Если не трудно ответте:
1-Нужно ли до удаления ndis.sys пропачивать:
O4 - HKLM\..\Run: [Windows] C:\WINDOWS\WinSecurity\services.exe
O4 - HKCU\..\Run: [_Windows] C:\WINDOWS\WinSecurity\services.exe
2-Удалить ndis.sys смогу и вручную и скриптом,но как лучьше?
3-Как лучьше восстановить ndis.sys путем использованием патча и/или утилит или взять из дистрибутива винды(этого я тоже смогу сделать точнее уже подготовился-распаковал как было указано в другой теме и чистый вариант у меня на другом диске)?
4-Существеут ли вариант не восстановления или неполного восстановления ndis.sys после удаления(т.е. есть вероятность переустановки винды)?

1.я бы сделал до .
2.не важно , но скриптом удобнее.
3.я же написал, только если не будет интернета после этого. Патчим обязательно! не важно чем заменить или патчем или с диска. Просто патчем удобнее и быстрее.

[QUOTE]1-Нужно ли до удаления ndis.sys пропачивать:
O4 - HKLM\..\Run: [Windows] C:\WINDOWS\WinSecurity\services.exe
O4 - HKCU\..\Run: [_Windows] C:\WINDOWS\WinSecurity\services.exe[/QUOTE]

Да, пофиксите эти строки перед удалением ndis.

[QUOTE]2-Удалить ndis.sys смогу и вручную и скриптом,но как лучьше?[/QUOTE]

Не имеет значения. Главное удалить.

[QUOTE]3-Как лучьше восстановить ndis.sys путем использования патча и/или утилит или взять из дистрибутива винды(этого я тоже смогу сделать точнее уже подготовился-распаковал как было указано в другой теме и чистый вариант у меня на другом диске)?[/QUOTE]

На ваш выбор.
Патч был зделан для того, что бы облегчить жызнь пользователям раздела "Помогите!"

Спасибо за быстрых ответов!Пока я дополнял свои вопросы с пунктом 4 Вы успели уже ответить по остальным трем.Все таки 4-Существеут ли вариант не восстановления или неполного восстановления ndis.sys после удаления(т.е. есть вероятность переустановки винды)?

[QUOTE]Существеут ли вариант не восстановления или неполного восстановления ndis.sys после удаления(т.е. есть вероятность переустановки винды)?[/QUOTE]

Скорее всего нет.(90%)
На этом сайте, пока все востановления были удачными...

Еще раз спасибо!Как говориться завтра свежим умом займусь этим делом.Сегодня как то уже устал.Надеюсь на помощьи если понадобиться!

[quote=drongo;111864][B][COLOR=red]Если[/COLOR] [/B][B]после[/B] патча интернет не появиться, можно потом этими утилитами попытаться восстановить интернет :
[URL]http://cexx.org/lspfix.htm[/URL]
[URL]http://www.iup.edu/house/resnet/WinsockXPFix.exe[/URL]
[B]их надо скачать, перед удалением ndsis.sys[/B]
P.S. если появиться , то конечно не надо !в любом случае утилиты полезные и должны быть в каждом компе ;)[/quote]
Можно еще пару вопросов перед удаления ndis.sys?
1-Вторая ссылка не работает и не смог скачать Winsock-а.Lspfix достаточна в проведению мероприятия или все таки нужен будеть и Winsock?(я понимаю что лучьше бы до них не доходили,но если понадобяться)
2-В другой теме читал что парню с похожей проблеммой предложили фикс для реестра винды после замены ndis.sys.Он мне не нужен или лучьше скачать оттуда?
3-Как лучьше сделать самого удаления в безопасном режиме или в нормальном?
4-Сохранить удаленный ndis.sys "на всякий пожарный" до восстановления сетьи или нет смысла?

[url]http://www.softpedia.com/progDownload/WinSockFix-Download-15337.html[/url]
- ссылочка на WinSockFix

[quote=PavelA;112008][URL]http://www.softpedia.com/progDownload/WinSockFix-Download-15337.html[/URL]
- ссылочка на WinSockFix[/quote]
Спасибо PavelA!Ссылка рабочая и скачал WinSockFix.
Если мои остальны вопросы кажуться глупыми то так и скажите,а если все таки есть смысл то пожалуйста ответте.
2-В другой теме читал что парню с похожей проблеммой предложили фикс для реестра винды после замены ndis.sys.Он мне не нужен или лучьше скачать оттуда?
3-Как лучьше сделать самого удаления в безопасном режиме или в нормальном?
4-Сохранить удаленный ndis.sys [COLOR=red]куда-то[/COLOR] "на всякий пожарный" до восстановления сетьи или нет смысла?

[QUOTE=ratat;112017]
Если мои остальны вопросы кажуться глупыми то так и скажите,а если все таки есть смысл то пожалуйста ответте.
2-В другой теме читал что парню с похожей проблеммой предложили фикс для реестра винды после замены ndis.sys.Он мне не нужен или лучьше скачать оттуда?
3-Как лучьше сделать самого удаления в безопасном режиме или в нормальном?
4-Сохранить удаленный ndis.sys [COLOR=red]куда-то[/COLOR] "на всякий пожарный" до восстановления сетьи или нет смысла?[/QUOTE]

2 - не нужно. Это есть тот же самый фикс
3 - думается в безопасном
4 - А зачем лишний зверь на компьютере ?

Все сделал.Удалил ndis в безопасном режиме.Перезагрузился.Как ожидалось небыло сетьи.Восстановил ndis путем патча-сеть появилась.Все в порядке вроде бы.WindowsExplorer заработал нормально(комп не перезагружаеться при использованием WE).В перечне процессов TaskManager-а есть процесс services.exe и заполняеть он 3292К оперативки.Прошу сообщите если это нормально(посколько его фиксил как было указано до удаления ndis).А вообще-то [B]СЕРДЕЧНЬІЕ БЛАГОДАРНОСТЬИ ВСЕМ[/B][B].Сделать заново логи и отправить на перепроверку?

Конечно, неплохо бы посмотреть что в итоге получилось.

[quote=PavelA;112050]Конечно, неплохо бы посмотреть что в итоге получилось.[/quote]
Сделал новые логи и вложил.Просьба сообщить если все в порядке.