вирус z-connect!!!

**Daniel3** · 23.10.2009, 14:57

а вирус до сих пор присутствует... вырубает соединение... a-connect называется

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Daniel3** · 23.10.2009, 15:38

вот новые логи, помогите пожалуйста

**Никита Соловьев** · 23.10.2009, 16:15

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\drivers\cbhf.exe');
 QuarantineFile('C:\WINDOWS\system32\73.scr','');
 QuarantineFile('C:\WINDOWS\system32\60.scr','');
 QuarantineFile('C:\WINDOWS\system32\51.scr','');
 QuarantineFile('C:\WINDOWS\system32\47.scr','');
 QuarantineFile('C:\WINDOWS\system32\22.scr','');
 QuarantineFile('C:\WINDOWS\system32\11.scr','');
 QuarantineFile('C:\l3m9z4a5w4x7.exe','');
 QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\T5FY4PS3\20[1].exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\CbhF.EXE','');
 QuarantineFile('c:\windows\system32\drivers\cbhf.exe','');
 DeleteFile('c:\windows\system32\drivers\cbhf.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\CbhF.EXE');
 DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\T5FY4PS3\20[1].exe');
 DeleteFile('C:\l3m9z4a5w4x7.exe');
 DeleteFile('C:\WINDOWS\system32\11.scr');
 DeleteFile('C:\WINDOWS\system32\22.scr');
 DeleteFile('C:\WINDOWS\system32\47.scr');
 DeleteFile('C:\WINDOWS\system32\51.scr');
 DeleteFile('C:\WINDOWS\system32\60.scr');
 DeleteFile('C:\WINDOWS\system32\73.scr');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

Сделайте новые логи

**Daniel3** · 24.10.2009, 10:18

вот новые логи

**thyrex** · 24.10.2009, 18:23

Ничего плохого не видно

Обновите JavaRE

**Daniel3** · 24.10.2009, 19:40

опять вирус a-connect... Оставил комп включённым и ушел. Когда вернулся, соединения нет.

**thyrex** · 24.10.2009, 19:46

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\46.scr','');
 QuarantineFile('C:\i5m9z4a5w4x7.exe','');
 QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C8CCXFUY\s[1].exe','');
 TerminateProcessByName('c:\windows\system32\drivers\bssbt.exe');
 QuarantineFile('c:\windows\system32\drivers\bssbt.exe','');
 DeleteFile('c:\windows\system32\drivers\bssbt.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\C8CCXFUY\s[1].exe');
 DeleteFile('C:\i5m9z4a5w4x7.exe');
 DeleteFile('C:\WINDOWS\system32\46.scr');
DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Поищите в папке system 32 scr-файлы с цифровым началом и удалите, если найдутся
Сделайте новые логи

Обновления после SP3 все стоят?

**Daniel3** · 24.10.2009, 20:05

всё сделал, в папке system32 подобных файлов нет, автоматическое обновление у меня отключено...

**thyrex** · 24.10.2009, 20:08

Сообщение от Daniel3

автоматическое обновление у меня отключено...

Соответственно нужно установить все, что предложит http://update.microsoft.com/microsof...ult.aspx?ln=ru

В логах вновь чистота. Флэшку проверяли на вирусы, кстати?

**Daniel3** · 25.10.2009, 10:22

обновления установил, флэшку проверил, на ней вирус

**thyrex** · 25.10.2009, 11:18

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('H:\RECYCLER\S-51-9-25-3434476501-1644491933-601013350-1214\BSsBT.exe','');
 QuarantineFile('C:\WINDOWS\system32\03.scr','');
 QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\SI022E2Z\s[1].exe','');
 TerminateProcessByName('c:\windows\system32\drivers\bssbt.exe');
DeleteFile('c:\windows\system32\drivers\bssbt.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\SI022E2Z\s[1].exe');
 DeleteFile('C:\i5m9z4a5w4x7.exe');
 DeleteFile('C:\WINDOWS\system32\03.scr');
 DeleteFile('H:\RECYCLER\S-51-9-25-3434476501-1644491933-601013350-1214\BSsBT.exe');
DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

**Daniel3** · 25.10.2009, 23:13

всё сделал

**thyrex** · 25.10.2009, 23:41

Ничего плохого не видно

**light59** · 28.10.2009, 09:57

Чувствую, скоро снова к нам придёте.
Ознакомьтесь с этим http://virusinfo.info/showthread.php?t=30339

**Daniel3** · 28.10.2009, 18:08

большое спасибо за информацию, впредь учту данные рекомендации

**CyberHelper** · 29.10.2009, 18:08

Статистика проведенного лечения:

Получено карантинов: 7
Обработано файлов: 123
В ходе лечения обнаружены вредоносные программы:
1. c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\c8ccxfuy\s[1].exe - Trojan.Win32.Buzus.cjdb ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )
2. c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\si022e2z\s[1].exe - Trojan.Win32.Buzus.cjdb ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )
3. c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\t5fy4ps3\20[1].exe - Trojan.Win32.Buzus.cizr ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )
4. c:\i5m9z4a5w4x7.exe - Trojan.Win32.Buzus.cizs ( DrWEB: Dialer.Siggen.121, BitDefender: Dialer.Generic.49808, AVAST4: Win32:Trojan-gen )
5. c:\l3m9z4a5w4x7.exe - Trojan.Win32.Buzus.cizs ( DrWEB: Dialer.Siggen.121, BitDefender: Dialer.Generic.49808, AVAST4: Win32:Trojan-gen )
6. c:\windows\system32\drivers\bssbt.exe - Trojan.Win32.Buzus.cjdb ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )
7. c:\windows\system32\drivers\cbhf.exe - Trojan.Win32.Buzus.cizr ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )
8. c:\windows\system32\drivers\csgf.exe - Net-Worm.Win32.Kolab.eih ( DrWEB: BackDoor.IRC.Bot.143, BitDefender: Trojan.Generic.2614988, NOD32: Win32/AutoRun.IRCBot.DI worm, AVAST4: Win32:Malware-gen )
9. c:\windows\system32\drivers\cshf.exe - Trojan.Win32.Buzus.chrj ( DrWEB: Dialer.Siggen.121, BitDefender: Rootkit.28111, NOD32: Win32/AutoRun.IRCBot.DI worm, AVAST4: Win32:Dialer-gen [Dialer] )
10. c:\windows\system32\03.scr - Trojan.Win32.Buzus.cjdb ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )
11. c:\windows\system32\11.scr - Trojan.Win32.Buzus.cizr ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )
12. c:\windows\system32\22.scr - Trojan.Win32.Buzus.cizr ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )
13. c:\windows\system32\46.scr - Trojan.Win32.Buzus.cjdb ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )
14. c:\windows\system32\47.scr - Trojan.Win32.Buzus.cizr ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )
15. c:\windows\system32\51.scr - Trojan.Win32.Buzus.cizr ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )
16. c:\windows\system32\60.scr - Trojan.Win32.Buzus.cizr ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )
17. c:\windows\system32\73.scr - Trojan.Win32.Buzus.cizr ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2616369, AVAST4: Win32:Malware-gen )
18. h:\recycler\s-51-9-25-3434476501-1644491933-601013350-1214\bssbt.exe - Trojan.Win32.Buzus.cjdb ( DrWEB: Dialer.Siggen.121, BitDefender: Trojan.Generic.2615984, AVAST4: Win32:Malware-gen )