Злая модификация P2P-Palevo

[varchyn]

Заколебался лечить, борюсь третий день. Ничего не помогает. Касперский 2010 не видит заразу!
Други выручайте!Вложение 217864

Вложение 217865

Вложение 217866

[polword]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Системное восстановление!!!как- посмотреть можно тут
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\RECYCLER\S-1-5-21-5798850871-8707543382-166718919-5184\wmfcgr.exe,C:\RECYCLER\S-1-5-21-2505535279-8827285030-888069270-1822\wmfcgr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-4464117203-7748973181-580308958-7909\sysdrv.exe,Explorer.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-5798850871-8707543382-166718919-5184\wmfcgr.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-5798850871-8707543382-166718919-5184\wmfcgr.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-5798850871-8707543382-166718919-5184\wmfcgr.exe,C:\RECYCLER\S-1-5-21-2505535279-8827285030-888069270-1822\wmfcgr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-4464117203-7748973181-580308958-7909\sysdrv.exe,Explorer.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 QuarantineFile('C:\WINDOWS\System32\drivers\pxrts.sys','');
 QuarantineFile('C:\WINDOWS\system32\Amhooker.dll','');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- обновите базы AVZ
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

[varchyn]

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

ГотоваВложение 217876

Вложение 217877

[polword]

1. Профиксите в HijackThis как "профиксить в HiJackThis"

 O4 - HKLM\..\Run: [Microsoft Update Setup] C:\WINDOWS\jjdrive32.exe
 O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Update Setup] C:\WINDOWS\jjdrive32.exe

2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 TerminateProcessByName('c:\windows\jjdrive32.exe');
 QuarantineFile('c:\windows\jjdrive32.exe','');
 DeleteFile('c:\windows\jjdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Update Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Update Setup');
 QuarantineFile('C:\WINDOWS\system32\ufdmgr.exe','');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

[varchyn]

1. Профиксите в HijackThis как "профиксить в
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ
Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

Вложение 217882

Вложение 217883

[polword]

В логах чисто.
поставте если нет
- все последние обновления системы Windows - тут

Вы можете отблагодарить весь проект VirusInfo вот тут.

[varchyn]

Ок, спасибо. Т.е. все таки было бы установленно обновление системы безопасности Windows вирус бы не поймал?
зы: Пока экзешники остались в system32, например: 21.exe (Цифры могут быть любые)
В c:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\EN23WR69\ тож сидели odBF[1].exe (В скобках может быть любое значение.
Ну и в c:\RECYCLER\S-1-5-21-7704759615-3284154280-928402932-7641\ остался sysdrv.exe Shift+Del не удаляется.
Понаблюдаю дальше.

[AndreyKa]

Т.е. все таки было бы установленно обновление системы безопасности Windows вирус бы не поймал?

Скорее всего, не поймали бы.
ПРосканируйте диск антивирусом для зачистки остатков.

[varchyn]

Скорее всего, не поймали бы.
ПРосканируйте диск антивирусом для зачистки остатков.

Спасиб. Вылечил! Но, в корне эта "зараза" создавала экзешник b2b, потом еще этот sysdrive в recycled. Выкосил это в безопасном режиме, потом все autorun с дисков, флешек и сплю спокойно.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\ufdmgr.exe - Trojan.Win32.Buzus.dfur ( DrWEB: Trojan.DownLoad.35732, BitDefender: Trojan.Inject.WX, AVAST4: Win32:Zbot-MQO [Trj] )