ВИРУС "Privet! Ya prisel k vam s mirom!"

**skolmykov** · 05.03.2009, 16:57

Это проявляется в момент запуска любого приложения вместо приложения запускаетя окошка рисунок 1 смотреть выше либо надпись рисунок 2. или приложение просто запускается. Компьтер рабочий находится в сети но это не шутка сисадмина я эту бяку занес с компа клиента когда пытался вылечить его комп, занес через курента от доктор вэба.Клиенту я комп спас спомощью убитием обоих раздел и создание всего по новой, у себя так не могу много нужной. У меня информации. У меня такое подозрение что этя бяка прописывается в ехе файлах.
Просто если смотреть через "ProcessExplorer" что загружается в момент загрузки любой программы то "ProcessExplorer" показывает запуск приложения но приэтом либо окошко с надписью рисунок 1 либо надпись рисунок 2. тобишь ничего вроде левого не подгружается.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Зайцев Олег** · 05.03.2009, 16:58

Ясно, продолжим поиск - нужно выполнить в AVZ скрипт:

Код:

begin
 SetAVZGuardStatus(True);
 ExpRegKey('HKEY_CLASSES_ROOT','.exe',
                    'reg_exp01.reg');
 ExpRegKey('HKEY_CLASSES_ROOT','exefile',
                    'reg_exp02.reg');
 ExecuteRepair(1);
 ExecuteRepair(9);
 RebootWindows(true);
end.

И прислать файлы reg_exp01.reg и reg_exp02.reg из папки AVZ в архиве согласно правил

**skolmykov** · 05.03.2009, 16:59

Разници нет из под оболочки винды или через тотал командер результат один

**Зайцев Олег** · 05.03.2009, 17:01

Сообщение от skolmykov

Разници нет из под оболочки винды или через тотал командер результат один

Тогда нужно пробовать скрипт - отработаем эту версию ... Плюс - как как с расширением - есть разница, запускается *.pif или *.exe ??
PS: идея файлового инфектора маловероятна - AVZ не фиксирует повреждения системных компонент и его самого ...

**skolmykov** · 05.03.2009, 17:09

AVZ запускается без проблем с любым разрешением из того что вы перечислили.Вот файлы которые вы просили.

**Зайцев Олег** · 05.03.2009, 17:30

Сообщение от skolmykov

AVZ запускается без проблем с любым разрешением из того что вы перечислили.Вот файлы которые вы просили.

Ничего аномального не вижу, REG файлы нормальные. Тогда поступим так: нужно в AVZ выполнить меню "Сервис\Поиск файла на диске". Там пометить системный диск в области поиска, маску поиска поставить *.*, поставить птичку "Содержит текст" и ввести образец текста Privet! , и нажать "Пуск". И пускай ищет ... если что найдет - то затем это пометить в списке найденного и нажать "скопировать в карантин", карантин далее нам по правилам (лог результатов поиска можно сюда поместить).

И еще момент - у ProcessExplorer есть полезная фича - кнопка на панели, с иконкой типа перекрестия. Если перетащить ее на любое диалоговое окно, то PE покажет процесс, создавший это окно. Надо это проделать и посмотреть, на какой процесс он укажет (тем более добиться появления такого окна не сложно)

**skolmykov** · 05.03.2009, 18:50

Вот что он нашел
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Application Data\Opera\Opera\profile\sessions\autosave.win.bak )
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Application Data\Opera\Opera\profile\sessions\autosave.win)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Application Data\Opera\Opera\profile\global.dat)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\images\yandex.ru.idx)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\images\www.google.com.idx)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\images\ru.search.yahoo.co m.idx)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\images\nova.rambler.ru.id x)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\cache4\dcache4.url)
Файл успешно помещен в карантин (C:\Program Files\QIP\Users\<UIN>\History\<UIN>.txt)
Файл успешно помещен в карантин (C:\Program Files\QIP\Users\<UIN>\History\<UIN>.txt)
Файл успешно помещен в карантин (C:\Program Files\QIP\Users\<UIN>\History\<UIN>.txt)

**Зайцев Олег** · 05.03.2009, 19:48

Сообщение от skolmykov

Вот что он нашел
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Application Data\Opera\Opera\profile\sessions\autosave.win.bak )
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Application Data\Opera\Opera\profile\sessions\autosave.win)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Application Data\Opera\Opera\profile\global.dat)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\images\yandex.ru.idx)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\images\www.google.com.idx)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\images\ru.search.yahoo.co m.idx)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\images\nova.rambler.ru.id x)
Файл успешно помещен в карантин (C:\Documents and Settings\Serg.TELKO\Local Settings\Application Data\Opera\Opera\profile\cache4\dcache4.url)
Файл успешно помещен в карантин (C:\Program Files\QIP\Users\<UIN>\History\<UIN>.txt)
Файл успешно помещен в карантин (C:\Program Files\QIP\Users\<UIN>\History\<UIN>.txt)
Файл успешно помещен в карантин (C:\Program Files\QIP\Users\<UIN>\History\<UIN>.txt)

Через Opera обсуждается данная тема, через QIP явно запрашивалась консультация - поэтому в их кешах и логах есть это слово. К сожалению ничего исполняемого не попалось ... Тогда отрабатываем следующий вариант: нужно запустить ProcessExplorer, добиться появления этого окна запустив что-то и не закрывая это окноперетащить на него кнопку с иконкой типа перекрестия из Process Explorer. Если перетащить эту кнопку на любое диалоговое окно, то PE покажет процесс, создавший это окно. Надо это проделать и посмотреть, на какой процесс он укажет

**skolmykov** · 06.03.2009, 08:35

Он показывает тот процес который я запустил в данном случае я запустил винамп и РЕ показывает на него.
Тут к стати я сейчас попробыал прошлый ваш совет где мы искали слово Privet! я сейчас запустил так же только слово (Х....У) и сейчас идет проверка но результат меня не радует такое чуство что сидит это слово везед сейчас закончит проверку я пришлу карантин и сюда выложу логи.

**Зайцев Олег** · 06.03.2009, 09:21

Сообщение от skolmykov

Он показывает тот процес который я запустил в данном случае я запустил винамп и РЕ показывает на него.
Тут к стати я сейчас попробыал прошлый ваш совет где мы искали слово Privet! я сейчас запустил так же только слово (Х....У) и сейчас идет проверка но результат меня не радует такое чуство что сидит это слово везед сейчас закончит проверку я пришлу карантин и сюда выложу логи.

OK, тогда ждем результат и будем пробовать другие методы поиска - их еще штук 5 осталось

Добавлено через 38 минут

Сообщение от skolmykov

.... меня не радует такое чуство что сидит это слово везед сейчас закончит проверку я пришлу карантин и сюда выложу логи.

В таком случае карантин можно не слать - короткое слово может находиться в сотне мест, особенно в кешах браузера. Можно поставить фильтр на расширения EXE, DLL, SYS.

Далее следующие рецепт - по ссылке http://www.z-oleg.com/avz02290306001.exe лежит хитрый инструмент, EXE размером 1.4 мб. Его нужно скачать, положить куда угодно (например, на рабочей стол, если нужно дать расширение PIF), и запустить. Он поработает некоторое время, создастся папка LOG. virusinfo_syscure.zip оттуда нужно прицепить в эту тему (это логи), а virusinfo_files_имяПК.zip нужно прислать через форму http://virusinfo.info/index.php?page=uploadclean (MD5 архива, котиорый сообщит форма загрузки, желательно запостить сюда)

**skolmykov** · 06.03.2009, 10:42

я скинул карантин там три файла всего остальное не стал так как после полной проверки нашел 3111 файлов из 68000 и когда я начил их копировать в карантин то у меня кончилось место на жеском диске поэтому я решил проверить только папку виндовс и из нее выбрал 3 файла что бы Вы посмотрели их. У меня подозрение что эта бяка идет как микро код который прописался у меня на компе в файлах и теперь так себя ведет.

**Зайцев Олег** · 06.03.2009, 10:46

Сообщение от skolmykov

я скинул карантин там три файла всего остальное не стал так как после полной проверки нашел 3111 файлов из 68000 и когда я начил их копировать в карантин то у меня кончилось место на жеском диске поэтому я решил проверить только папку виндовс и из нее выбрал 3 файла что бы Вы посмотрели их. У меня подозрение что эта бяка идет как микро код который прописался у меня на компе в файлах и теперь так себя ведет.

Да, файлы из папки Windows нужно прислать нам и далее логи/файлы от указанного мной выше анализатора на базе AVZ - он ищет больше, чем обычная версия

**skolmykov** · 06.03.2009, 10:50

фаил с именем virusinfo_files_TELKO-SKLAD2 скинул по форме как вы просили
програмка после проверки закрылась сама
логи не смог увидеть система тормозит по страшному

**skolmykov** · 06.03.2009, 11:00

Вот еше второй фаил после скана вашей утелитки

**Зайцев Олег** · 06.03.2009, 11:38

Сообщение от skolmykov

Вот еше второй фаил после скана вашей утелитки

1. По этому логу нужно выполнить в обычном AVZ скрипт:

Код:

begin
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\UStork.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\MS1000.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\KMWDFilter.SYS','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\ggsemc.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\csrbcxp.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\btcusb.sys','');
 QuarantineFile('C:\WINDOWS\system32\ati2sgag.exe','');
 QuarantineFile('C:\WINDOWS\system32\ufdsvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\UTSCSI.EXE','');
end.

и прислать карантин. Пока в логах и пришедшем карантине ничего особо опасного не видно. Это парвое.
2. Далее отработаем версию с чем-то хитро маскирующимся. Для его поиска нужно провести анализ ПК утилитой GMER (это в отличе от AVZ специализированный антирутикит и он может увидет больше) - вот инструкция - http://virusinfo.info/showpost.php?p=351873&postcount=1, логи GMER нужно прицепить сюда
3. В AVZ нужно активировать AVZPM через меню, перезагрузить ПК и повторить исследование системы согласно правилам, логи прицепить сюда - может быть, в этом режиме что-то найдется
4. Выполнив 1-3 стоит попробовать поставить опыт - отключить сеть, перезагрузить ПК и посмотреть, будет такой глюк или нет
Итого, сдем результатов выполнения данных шагов, если не поможет, придется пускать в ход тяжелую артиллерию

**skolmykov** · 06.03.2009, 12:17

вот лог после GMER:

и так же прикрепляю егоже

GMER 1.0.14.14536 - http://www.gmer.net

Код:

Rootkit scan 2009-03-06 12:16:12
Windows 5.1.2600 Service Pack 2


---- Kernel code sections - GMER 1.0.14 ----

?               C:\WINDOWS\system32\Drivers\PROCEXP100.SYS                                                                                                                                                                                        Не удается найти указанный файл. !

---- User code sections - GMER 1.0.14 ----

.text           C:\WINDOWS\Explorer.EXE[508] kernel32.dll!CreateProcessW                                                                                                                                                                          7C802332 5 Bytes  JMP 13143570 
.text           C:\Program Files\Total Commander\Totalcmd.exe[624] kernel32.dll!CreateProcessW                                                                                                                                                    7C802332 5 Bytes  JMP 00713799 C:\Program Files\Total Commander\Totalcmd.exe (Total Commander 32 bit international version, file manager replacement for Windows/C. Ghisler & Co.)
.text           C:\Program Files\Internet Explorer\iexplore.exe[2016] kernel32.dll!CreateProcessW                                                                                                                                                 7C802332 5 Bytes  JMP 0041C1F3 C:\Program Files\Internet Explorer\iexplore.exe (Internet Explorer/Корпорация Майкрософт)
.text           C:\Program Files\Winamp\winamp.exe[2020] kernel32.dll!CreateProcessW                                                                                                                                                              7C802332 5 Bytes  JMP 0055D84F C:\Program Files\Winamp\winamp.exe (Winamp/Nullsoft)
.text           C:\Program Files\Winamp\winamp.exe[2020] USER32.dll!SetScrollInfo                                                                                                                                                                 77D3902C 7 Bytes  JMP 018AA68D C:\Program Files\Winamp\Plugins\gen_jumpex.dll
.text           C:\Program Files\Winamp\winamp.exe[2020] USER32.dll!GetScrollPos                                                                                                                                                                  77D3F66F 5 Bytes  JMP 018AA63D C:\Program Files\Winamp\Plugins\gen_jumpex.dll
.text           C:\Program Files\Winamp\winamp.exe[2020] USER32.dll!SetScrollRange                                                                                                                                                                77D3F6BB 5 Bytes  JMP 018AA6E3 C:\Program Files\Winamp\Plugins\gen_jumpex.dll
.text           C:\Program Files\Winamp\winamp.exe[2020] USER32.dll!SetScrollPos                                                                                                                                                                  77D3F780 5 Bytes  JMP 018AA6B8 C:\Program Files\Winamp\Plugins\gen_jumpex.dll
.text           C:\Program Files\Winamp\winamp.exe[2020] USER32.dll!GetScrollRange                                                                                                                                                                77D3F7B7 5 Bytes  JMP 018AA662 C:\Program Files\Winamp\Plugins\gen_jumpex.dll
.text           C:\Program Files\Winamp\winamp.exe[2020] USER32.dll!ShowScrollBar                                                                                                                                                                 77D40142 5 Bytes  JMP 018AA711 C:\Program Files\Winamp\Plugins\gen_jumpex.dll
.text           C:\Program Files\Winamp\winamp.exe[2020] USER32.dll!GetScrollInfo                                                                                                                                                                 77D43A2F 7 Bytes  JMP 018AA615 C:\Program Files\Winamp\Plugins\gen_jumpex.dll
.text           C:\Program Files\Winamp\winamp.exe[2020] USER32.dll!EnableScrollBar                                                                                                                                                               77D87BAD 7 Bytes  JMP 018AA5ED C:\Program Files\Winamp\Plugins\gen_jumpex.dll
.text           C:\Program Files\The Bat!\thebat.exe[2612] kernel32.dll!CreateProcessW                                                                                                                                                            7C802332 2 Bytes  JMP 00F8792B C:\Program Files\The Bat!\thebat.exe (The Bat! E-Mail Client by Ritlabs/Ritlabs S.R.L.)
.text           C:\Program Files\The Bat!\thebat.exe[2612] kernel32.dll!CreateProcessW + 3                                                                                                                                                        7C802335 2 Bytes  [ 78, 84 ]
.text           C:\Serg\Soft\Sistem\ProcessExplorer\procexp.exe[2688] kernel32.dll!CreateProcessW                                                                                                                                                 7C802332 5 Bytes  JMP 00793974 C:\Serg\Soft\Sistem\ProcessExplorer\procexp.exe (Sysinternals Process Explorer/Sysinternals)
.text           C:\Program Files\Opera\opera.exe[3124] kernel32.dll!CreateProcessW                                                                                                                                                                7C802332 5 Bytes  JMP 0041E6B5 C:\Program Files\Opera\opera.exe (Opera Internet Browser/Opera Software)

---- Devices - GMER 1.0.14 ----

AttachedDevice  \FileSystem\Ntfs \Ntfs                                                                                                                                                                                                            amon.sys (Amon monitor/Eset )
AttachedDevice  \Driver\Ftdisk \Device\HarddiskVolume1                                                                                                                                                                                            snapman.sys (Acronis Snapshot API/Acronis)

---- Registry - GMER 1.0.14 ----

Reg             HKLM\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0?\4;\0040\4=\48\4@\4>\0042\4I\48\4:\0040\4 \0?\0040\4:\0045\4B\4>\0042\4                           1?2?3?
Reg             HKLM\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0W\0A\0N\0 \0(\0L\0002\0T\0P\0)                                                                     1?
Reg             HKLM\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0W\0A\0N\0 \0(\0P\0P\0T\0P\0)                                                                       1?
Reg             HKLM\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0W\0A\0N\0 \0(\0P\0P\0P\0o\0E\0)                                                                    1?
Reg             HKLM\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\37\4@\4O\4<\4>\49\4 \0?\0040\4@\0040\4;\4;\0045\4;\4L\4=\4K\49\4 \0?\4>\4@\4B\4                                                1?
Reg             HKLM\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0W\0A\0N\0 \0(\0I\0P\0)                                                                             1?
Reg             HKLM\SYSTEM\CurrentControlSet\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@#\4A\4B\4@\4>\49\4A\4B\0042\4>\4 \0B\0l\0u\0e\0t\0o\0o\0t\0h\0 \0(\0?\4@\4>\4B\4>\4:\4>\4;\4 \0R\0F\0C\0O\0M\0M\0 \0T\0D\0I\0)  1?2?3?4?5?6?7?
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0008f41620ee                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0011f602019e                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0011f60201ed                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0011f602020b                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0011f602020b@0018138e486f                                                                                                                                          0x1B 0x19 0x3E 0xDE ...
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0011f602022b                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0015830c2f1e                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0015830c2f49                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0018e407cdbb                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0018e407cdbb@0018138e486f                                                                                                                                          0xD2 0x6A 0x32 0x68 ...
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0018e407ce71                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0018e407ce71@0018138e486f                                                                                                                                          0x58 0xC8 0x94 0xC6 ...
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0018e407d474                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\BTHPORT\Parameters\Keys\0018e407d568                                                                                                                                                       
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04                                                                                                                                                  
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0                                                                                                                                               C:\Program Files\Alcohol Soft\Alcohol 120\
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0                                                                                                                                               0
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew                                                                                                                                            0x79 0x58 0xEC 0xF9 ...
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001                                                                                                                                         
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0                                                                                                                                      0x20 0x01 0x00 0x00 ...
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@ujdew                                                                                                                                   0xF7 0x98 0x3C 0x67 ...
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40                                                                                                                                  
Reg             HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40@ujdew                                                                                                                            0xB9 0xAD 0x42 0x5B ...
Reg             HKLM\SYSTEM\CurrentControlSet\Services\SysmonLog\Log Queries\{54ea56b0-6134-4704-ad87-02579b0c9731}@\20\4B\4@\48\0041\4C\4B\4K\4 \0E\4@\0040\4=\0045\4=\48\4O\4 \0004\0040\4=\4=\4K\4E\4                                          33
Reg             HKLM\SYSTEM\ControlSet003\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0?\4;\0040\4=\48\4@\4>\0042\4I\48\4:\0040\4 \0?\0040\4:\0045\4B\4>\0042\4                               1?2?3?
Reg             HKLM\SYSTEM\ControlSet003\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0W\0A\0N\0 \0(\0L\0002\0T\0P\0)                                                                         1?
Reg             HKLM\SYSTEM\ControlSet003\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0W\0A\0N\0 \0(\0P\0P\0T\0P\0)                                                                           1?
Reg             HKLM\SYSTEM\ControlSet003\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0W\0A\0N\0 \0(\0P\0P\0P\0o\0E\0)                                                                        1?
Reg             HKLM\SYSTEM\ControlSet003\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\37\4@\4O\4<\4>\49\4 \0?\0040\4@\0040\4;\4;\0045\4;\4L\4=\4K\49\4 \0?\4>\4@\4B\4                                                    1?
Reg             HKLM\SYSTEM\ControlSet003\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@\34\48\4=\48\4?\4>\4@\4B\4 \0W\0A\0N\0 \0(\0I\0P\0)                                                                                 1?
Reg             HKLM\SYSTEM\ControlSet003\Control\Network\{4D36E972-E325-11CE-BFC1-08002BE10318}\Descriptions@#\4A\4B\4@\4>\49\4A\4B\0042\4>\4 \0B\0l\0u\0e\0t\0o\0o\0t\0h\0 \0(\0?\4@\4>\4B\4>\4:\4>\4;\4 \0R\0F\0C\0O\0M\0M\0 \0T\0D\0I\0)      1?2?3?4?5?6?7?
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0008f41620ee                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0011f602019e                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0011f60201ed                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0011f602020b                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0011f602020b@0018138e486f                                                                                                                                              0x1B 0x19 0x3E 0xDE ...
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0011f602022b                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0015830c2f1e                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0015830c2f49                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0018e407cdbb                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0018e407cdbb@0018138e486f                                                                                                                                              0xD2 0x6A 0x32 0x68 ...
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0018e407ce71                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0018e407ce71@0018138e486f                                                                                                                                              0x58 0xC8 0x94 0xC6 ...
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0018e407d474                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\BTHPORT\Parameters\Keys\0018e407d568                                                                                                                                                           
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04                                                                                                                                                      
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@p0                                                                                                                                                   C:\Program Files\Alcohol Soft\Alcohol 120\
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@h0                                                                                                                                                   0
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04@ujdew                                                                                                                                                0x79 0x58 0xEC 0xF9 ...
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001                                                                                                                                             
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@a0                                                                                                                                          0x20 0x01 0x00 0x00 ...
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001@ujdew                                                                                                                                       0xF7 0x98 0x3C 0x67 ...
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40                                                                                                                                      
Reg             HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04\00000001\jdgg40@ujdew                                                                                                                                0xB9 0xAD 0x42 0x5B ...
Reg             HKLM\SYSTEM\ControlSet003\Services\SysmonLog\Log Queries\{54ea56b0-6134-4704-ad87-02579b0c9731}@\20\4B\4@\48\0041\4C\4B\4K\4 \0E\4@\0040\4=\0045\4=\48\4O\4 \0004\0040\4=\4=\4K\4E\4                                              33

---- EOF - GMER 1.0.14 ----

**skolmykov** · 06.03.2009, 12:20

так же отправил карантин после вашего скрипта

**skolmykov** · 06.03.2009, 14:11

Выполнил ваши советы по путнктам 1-3.
Вот файлы.

**Зайцев Олег** · 06.03.2009, 14:22

Сообщение от skolmykov

так же отправил карантин после вашего скрипта

Причина прояснилась, равно как метод реализации

Для уверенности на 100% нужно сделать такую вещь:
1. Запустить AVZ, активировать AVZGuard
2. Из меню AVZGuard запустить что угодно как доверенное, например блокнот или любую другую программу). Окошко с сообщение не должно отображаться
3. Выключить AVZ Guard

**skolmykov** · 06.03.2009, 14:23

Выполнил 4 пункт проблема не ушла. Кстати по поводу сети я нахожусь в сети нашей внутренней и через нее выхожу в инет но эта бяка сидит тока у меня так как я не выхожу по сети на внутренний сервер либо на какой нить комп внутри сети. Мое подозрение втом что если я выйду по локалке на другой комп и запущу какое нить приложение то эта бяка попадет на сервак либо на другой ком или если из сети у меня что нить запустят тогда эта бяка пойдет дальше и т.д. и т.п.
а я сижу с этой ябякой уже с 3,03,09 числа и она пока тока у меня. Я так понимаю что она сама не распространяется по сети она подсаживается на ехе и потом при запуске на другом компе активируется

ВИРУС "Privet! Ya prisel k vam s mirom!" (заявка № 40907)

Опции темы

Похожие темы

"Яндекс" выдает "Welcome to nginx!" В "однокласниках" и "вконтакте" просит номер телефона

Не заходит вконтакт,пишет следующее:"Подтвердите принадлежность аккаунта" и "В системе обнаружен вирус.Использование интернета нежелательно"

ПОМОГИТЕ!!! вирус из КОНТАКТА "переводящий" антивирус в "усиленный режим"

Безопасность в "облаках" и в "песочнице". Интервью с "Лабораторией Касперского". Часть I- II

На диске D ничего не осталось! кроме "мои документы" с папками "моя музыка", "мои рисунки". но и они пустые.

Ваши права в разделе