Вирус Suspicouis.MH690

**nana_MeDBeD** · 25.04.2011, 08:31

Доброго дня, о великие гуру антивирусного мира !

Symantec периодически отлавливает файлы (wab.vir, launcher.vir) пораженные Suspicouis.MH690, просто десятками. К тому же, диспетчер задач загружает одно ядро на 100%. Логи прилагаю. Заранее благодарен

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**nana_MeDBeD** · 25.04.2011, 13:53

неужели все чисто ?

**thyrex** · 25.04.2011, 22:02

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
 QuarantineFile('c:\windows\system32\vssvc.exe','');
 QuarantineFile('c:\windows\system32\spoolsv.exe','');
 QuarantineFile('c:\windows\system32\rundll32.exe','');
 QuarantineFile('c:\windows\system32\imapi.exe','');
 QuarantineFile('c:\windows\system32\dmadmin.exe','');
 QuarantineFile('c:\windows\system32\dllhost.exe','');
 QuarantineFile('c:\windows\system32\clipsrv.exe','');
 QuarantineFile('c:\windows\system32\cisvc.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

**nana_MeDBeD** · 26.04.2011, 05:23

скрипт выполнил. карантин почему то пустой оказался. начал делать повторный лог - avz скрипты выполнились, а hijackthis выдал ошибку на строке "o4 - hkcu....GoogleBarNotifier.exe" что приложение занято. Убил процесс GoogleBarNotifier.exe - не помогло.

**nana_MeDBeD** · 26.04.2011, 05:29

hijackthis долго думал и все таки выдал лог

**nana_MeDBeD** · 26.04.2011, 05:30

лог avz

**thyrex** · 26.04.2011, 09:33

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Internet Explorer\xpsp2res.dll','');
 DeleteFile('C:\Program Files\Internet Explorer\xpsp2res.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Man-ager\AppCertDlls','DefaultVerifier');
 DeleteFile('E:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

**nana_MeDBeD** · 26.04.2011, 11:20

скрипт выполнил. карантин опять пустой

- папка создается, а в ней пустота. лог новый прилагаю :

**thyrex** · 26.04.2011, 22:51

Плохого не видно

**nana_MeDBeD** · 27.04.2011, 03:25

ок. спасибо

**nana_MeDBeD** · 28.04.2011, 08:10

Добрый день !

Проблема повторилась - опять taskmanager.exe загружает проц на 100 % и лезут wab.vir, launcher.vir пораженные Suspicouis.MH690.

**thyrex** · 28.04.2011, 09:04

Лечитесь так http://virusinfo.info/showthread.php?t=15927 (вариант с Live CD предпочтительнее)

**nana_MeDBeD** · 02.05.2011, 15:14

Полечил с помощью live cd, cure it вылечил порядка 250 exe-шников пораженных win32.expiro.25.
сделал лог avz (правда из под live cd - систему пока боязно загружать

)

**polword** · 02.05.2011, 18:25

из под live cd - логи бесполезны

**nana_MeDBeD** · 03.05.2011, 05:02

Я так и понял

. Вот нормальные логи

**polword** · 03.05.2011, 06:25

- скачайте новую версию AVZ - 4.35
- обновите базы AVZ
- Переделайте логи virusinfo_syscure.zip и virusinfo_syscheck.zip

**nana_MeDBeD** · 03.05.2011, 08:16

обновленные логи :

**polword** · 03.05.2011, 08:22

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\777\LOCALS~1\Temp\5DKEnCPx.sys','');
 DeleteFile('C:\DOCUME~1\777\LOCALS~1\Temp\5DKEnCPx.sys');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;

**nana_MeDBeD** · 03.05.2011, 09:37

скрипты выполнил. карантин пытаюсь загрузить - пишет ошибку "Результат загрузки.Ошибка загрузки. Данный файл уже был загружен"
лог virusinfo_syscheck.zip прилагаю :