Win32.HLLP.Beagle

[Johnmen]

Вот получил логи из-под SafeMode:

[Johnmen]

попробуйте сделать логи вот этим

Если имеется в виду в обычном режиме, то придется бороться с проблемой "не является Win32 приложением", червяк покоцал налету

[rubin]

Выполните

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','german.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','drvsyskit');
 DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\hldrrr.exe');
 DeleteFile('C:\WINDOWS\system32\wintems.exe');
 BC_ImportDeletedList;
 BC_DeleteSvc('srosa');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Обычный режим не вернется?

[Alex_Goodwin]

C:\WINDOWS\system32\drivers\srosa.sys
C:\WINDOWS\system32\drivers\hldrrr.exe
C:\WINDOWS\system32\wintems.exe

Это можно и из под BartPE прибить..

[Johnmen]

> rubin

Обычный режим и раньше был.
Скрипт выполнил. Загрузился в обычном режиме. Но признаки действия вируса продолжают наблюдаться:
- попытка запустить с HDD свежераспакованный avz.exe - "не является приложением Win32"
- попытка обновить базу при запуске tt.exe (переименнованного avz.exe, ещё не покоцанного) - "File not found" на neurald.avz
- CureIt! также выдает "c:\windows\system32\wintems.exe инфицирован Win32.HLLM.Beagle" и постоянно генерящиеся файлы "c:\windows\system32\drivers\down\340031.exe инфицирован Win32.HLLM.Beagle"

Добавлено через 2 минуты

Это можно и из под BartPE прибить..

Я это делал ещё до обращения в форум.
Результат отрицательный.

[Alex_Goodwin]

Если имеется в виду в обычном режиме, то придется бороться с проблемой "не является Win32 приложением", червяк покоцал налету

А если в безопасном?


Gmer попробуйте.



CureIt пробовали?

[Johnmen]

> Alex_Goodwin
> А если в безопасном?

В безопасном запускаю. Но что дальше делать? Для чего это программа?

> Gmer попробуйте.

Попробовал запустить - "CreateFile "C:\WINDOWS\gmer.dll": Не удается найти указанный файл"

> CureIt пробовали?

Пробовал. О чем писАл выше.

[Alex_Goodwin]

http://virusinfo.info/showthread.php?t=17228
Удалите файлы, упомянутые в скрипте.

Добавлено через 7 минут

c:\windows\explorer.exe
отправьте нам по правилам.

[Johnmen]

http://virusinfo.info/showthread.php?t=17228
Удалите файлы, упомянутые в скрипте.

Добавлено через 7 минут

c:\windows\explorer.exe
отправьте нам по правилам.

Загрузился в SM.
Запустил IceSword.exe
Удалил файлы:
C:\WINDOWS\SYSTEM32\mdekl.exe
C:\WINDOWS\SYSTEM32\wintems.exe
C:\WINDOWS\SYSTEM32\DRIVERS\srosa.sys
C:\WINDOWS\SYSTEM32\DRIVERS\hlprrr.exe
Перегрузился в обычном режиме.
Признаки наличия и активности вируса остались. Их уже приводил в ответ на пост rubin.

[Johnmen]

Прикрепил заархивированный explorer.exe

Подозреваемый файл в теме - моветон.

[rubin]

explorer сюда - http://virusinfo.info/upload_virus.php?tid=18920

[Alex_Goodwin]

http://www.viruslist.com/ru/viruses/...rusid=21780028
Реестр в безопасном через icesword почистите, найдите папку, где бигль хранит файлы и удалите.

[Johnmen]

explorer сюда - http://virusinfo.info/upload_virus.php?tid=18920

Закачал.

Добавлено через 48 минут

http://www.viruslist.com/ru/viruses/...rusid=21780028
Реестр в безопасном через icesword почистите, найдите папку, где бигль хранит файлы и удалите.

Сделал по рекомедациям в ссылке. Похоже, получилось!
И, как указано в ссылке, насчет создаваемой службы Megadrv3 - была у меня такая! И сильно я её подозревал...
Сейчас буду проводить комплекс тестирования.
По кр.мере AVZ запускается с HDD, базу обновил успешо.

Большущее спасибо!

Ещё пара моментов...
1.
> rubin
Пожалуйста, хотелось бы услышать об експлорере, если вдруг с ним проблемы.
2.
AVZ в процессе сканирования сообщает:
C:\Program Files\MarkAny\ContentSafer\MaAgent.exe >>> подозрение на Trojan-Dropper.Win32.Small.mh ( 005DF367 00000000 001E0758 0021AE59 57344)

каюсь, я напроч забыл, что это такое, MaAgent.exe
Подскажите, что это и зачем это.

[Alex_Goodwin]

Логи-то для контроля сделайте - посмотрим.

[Johnmen]

Сделал логи. Выкладываю.

[Alex_Goodwin]

1. Ждем ответа по explorer
2. Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('srosa');
 SetServiceStart('srosa', 4);
 DeleteService('srosa');
 QuarantineFile('C:\WINDOWS\System32\Drivers\av9o1cpd.SYS','');
 DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Карантин по правилам.

[Johnmen]

Выслал карантин после выполнения скрипта.

[rubin]

explorer.exe_
Вредоносный код в файле не обнаружен.

Повторите логи с п.10 Правил..
PS: av9o1cpd.SYS в карантин не попал, это daemon tools\alcohol

[Johnmen]

explorer.exe_
Вредоносный код в файле не обнаружен.

Это хорошо!
Спасибо!

Повторите логи с п.10 Правил..
PS: av9o1cpd.SYS в карантин не попал, это daemon tools\alcohol

Вот повторенные логи:

[V_Bond]

пофиксите ...

O2 - BHO: (no name) - {259F616C-A300-44F5-B04A-ED001A26C85C} - (no file)
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
 BC_DeleteSvc('srosa');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите последние два лога ...