Трояны, ggdrive32.exe, ошибки...

**Pomor** · 01-23-2011, 02:35 PM

Здравствуйте,

У меня такая проблемы: программа ggdrive32.exe(видимо червь) в диспетчере задач постоянно, какие то файлы 42.exe, 38.exe тоже. Прогу эту находил в поисковике удалял но она все равно возвращается. Что то мне подсказывает что это вирус какой-то. Инет стал постоянно вылетать, скорости совсем нет, виндовс виснет. А посл время стала выходить ещё одна ошибка Generic Host Process for Win32 Services. Инет сразу падает, комп виснет.

Помогите пожалуйста

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Acidorum** · 01-23-2011, 02:59 PM

Здравствуйте.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:

Code:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\88.exe','');
QuarantineFile('C:\WINDOWS\system32\80.exe','');
QuarantineFile('C:\WINDOWS\system32\77.exe','');
QuarantineFile('C:\WINDOWS\system32\72.exe','');
QuarantineFile('C:\WINDOWS\system32\66.exe','');
QuarantineFile('C:\WINDOWS\system32\63.exe','');
QuarantineFile('C:\WINDOWS\system32\61.exe','');
QuarantineFile('C:\WINDOWS\system32\56.exe','');
QuarantineFile('C:\WINDOWS\system32\42.exe','');
QuarantineFile('C:\WINDOWS\system32\41.exe','');
QuarantineFile('C:\WINDOWS\system32\30.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
QuarantineFile('C:\WINDOWS\system32\26.exe','');
QuarantineFile('C:\WINDOWS\system32\18.exe','');
QuarantineFile('C:\WINDOWS\system32\13.exe','');
QuarantineFile('C:\WINDOWS\system32\08.exe','');
QuarantineFile('C:\WINDOWS\system32\03.exe','');
QuarantineFile('C:\WINDOWS\system32\01.exe','');
QuarantineFile('C:\WINDOWS\ggdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\removeany.sys','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\WINDOWS\ggdrive32.exe');
DeleteFile('C:\WINDOWS\system32\01.exe');
DeleteFile('C:\WINDOWS\system32\03.exe');
DeleteFile('C:\WINDOWS\system32\08.exe');
DeleteFile('C:\WINDOWS\system32\13.exe');
DeleteFile('C:\WINDOWS\system32\18.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\WINDOWS\system32\30.exe');
DeleteFile('C:\WINDOWS\system32\41.exe');
DeleteFile('C:\WINDOWS\system32\42.exe');
DeleteFile('C:\WINDOWS\system32\56.exe');
DeleteFile('C:\WINDOWS\system32\61.exe');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\66.exe');
DeleteFile('C:\WINDOWS\system32\72.exe');
DeleteFile('C:\WINDOWS\system32\77.exe');
DeleteFile('C:\WINDOWS\system32\80.exe');
DeleteFile('C:\WINDOWS\system32\88.exe');
DelBHO('710EB7A1-45ED-11D0-924A-0020AFC7AC4D');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Затем выполните ещё один скрипт:

Code:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
Повторите логи.

**Pomor** · 01-23-2011, 04:05 PM

карантин выслал. ggdrive32.exe все ещё висит в диспетчере задач. повторяю логи

**Acidorum** · 01-23-2011, 04:16 PM

Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:

Code:

begin
 ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\ggdrive32.exe');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('c:\windows\ggdrive32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Затем выполните ещё один скрипт:

Code:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
Повторите логи.

**Pomor** · 01-23-2011, 05:18 PM

новый карантин выслал. ggdrive32.exe все ещё висит в диспетчере задач. Повторяю логи

**Acidorum** · 01-23-2011, 05:39 PM

Живучий червяк.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:

Code:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\75.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\75.exe');
BC_DeleteFile('C:\Documents and Settings\Администратор\Application Data\bowcav.exe');
BC_DeleteFile('C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Затем выполните ещё один скрипт:

Code:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
Повторите логи.
Подготовьте лог MBAM.

**Bratez** · 01-23-2011, 05:51 PM

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Систему надо обновлять, иначе эта зараза будет пролазить снова и снова.

**Pomor** · 01-23-2011, 06:46 PM

карантин выслал. ggdrive32.exe живее всех живых) Повторные логи выслал. Ребят объясните нужно сервис пак 3, обновления какие то?

**Pomor** · 01-23-2011, 06:54 PM

Лог mbam

**thyrex** · 01-23-2011, 07:16 PM

Систему обновили?

Удалите в МВАМ все найденное

**Pomor** · 01-23-2011, 07:29 PM

Здравствуйте, обновить конкретно что надо? Поставить Сервис пак 3 и обновить интернет эксплоуер?

Добавлено через 51 секунду

в mbam все удалил

**thyrex** · 01-23-2011, 07:40 PM

Originally Posted by Pomor

обновить конкретно что надо?

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена

Установите SP3 (может потребоваться активация) + все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

Originally Posted by Pomor

в mbam все удалил

Обновитеcm и сделайте новый лог МВАМ

**Pomor** · 01-26-2011, 02:22 AM

Здравствуйте ещё раз... Наконец поставил sp3, эксплоуер 8 и обновления. Сделал лог mbam

**миднайт** · 01-26-2011, 02:32 AM

Удалите в mbam:

Code:

Заражённые файлы:
c:\WINDOWS\system32\30.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\txyrm.exe (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\36.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\48.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\53.scr (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\62.scr (Trojan.Dropper) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\Q9IJKL6B\yy[1].exe (Trojan.Dropper) -> No action taken.
c:\WINDOWS\system32\41.exe (Trojan.FakeAlert) -> No action taken.
c:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.

Повторите лог mbam

**Pomor** · 01-26-2011, 05:05 PM

В mbam всё удалил. Извините не понял куда последний код вводить? в AVZ там не подходит вроде: ни шапки и конца нет. Повторный лог mbam прилагаю...

**миднайт** · 01-26-2011, 06:30 PM

Чисто.
Выполните в AVZ скрипт из файла ScanVuln.txt откройте файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления. (Обратите внимание, при установке сервис паков, обновлении ОС, может потребоваться повторная активация Windows)
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
Что с проблемой?

**Pomor** · 01-27-2011, 12:10 AM

Скрипт сделал он нашел одну уязвимость. обновил. повторно уязвимостей не было найдено. Основная проблема с ggdrive32.exe устранена, ошибка больше не вылазит. посмотрите ещё раз лог mbam - вроде удаляешь все в mbam а зараженные ключи, зараженные параметры реестра всё равно находяться при новом сканировании... В принципе по работоспособности инета притензий нет. может сами по себе они эти зараженные объекты не опасны? Посоветуйте пожалуйста. Лог mbam прилагаю

**миднайт** · 01-27-2011, 02:06 AM

Раньше этих находок не было. Удалите все найденно в mbam в безопасном режиме.

**Pomor** · 01-27-2011, 03:43 AM

Не могу зайти в безопасный режим. При попытке зайти появляется надпись Press ESC to cancel loading SPTD.sys. и комп перезагружается. SPTD.sys это как я понимаю нормальный драйвер вроде как эмуляторов дисков типа Daemon tools который у меня как раз стоит. Пришлось удалять в обычном режиме виндовс. После перезагрузки сканирую в mbam - новые зараженные объекты. Что посоветуете? лог mbam прилагаю

**Pomor** · 01-27-2011, 03:48 AM

лог mbam

Трояны, ggdrive32.exe, ошибки... (заявка № 96046)

Thread Tools

Трояны, ggdrive32.exe, ошибки...

Антивирусная помощь

Антивирусная помощь

Similar Threads

ggdrive32.exe и трояны

ggdrive32.exe

Неубиваемый Trojan.Alipop.3 другие трояны и ошибки в работе IE

ggdrive32

Трояны и ошибки сканирования

Posting Permissions