Заражён awtsqrr.dll (Adware.Virtumonde)

[GuFFi.fbr]

У меня стоит нод32, и в какой то один из прекрасных дней, начал он выдавать точто заражён awtsqrr.dll в папке c\windows\system32, говорит что это adware.Virtumonde, пробывал удалять докторомВЕб - непомогает, и AVZ тоже (( , нод32 обещает всё после перезагрузки но - не удаляет. Похоже, как йа узнал из вашего форума, это йа подцыпил в internet explorere когда вылетало окошка с winantivirus'ом - так и есть... йа даже его установил ((( но потом удалил, судя по всему мне нужно выполнить скрипт в авз и чтото пофиксить в хиджэйвис.
Что делать
Пожайлуйста помогите!)) а то уже йа и ручками пробывал, закрыть все процессы даже системные и эксплорер, и за то время пока что тикал таймер перезагрузки йа в фаре пробыл удалить(( и всё равно не удалось)

ещё скажу вам что эта библеотека подгружаецо в процессах (winlogon и в explorer) так что вот

[drongo]

1.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\awtsqrr.dll','');
 QuarantineFile('C:\WINDOWS\System32\XPize_Logon.exe','');
 QuarantineFile('C:\WINDOWS\System32\userinit.exe','');
 QuarantineFile('C:\WINDOWS\system32\ddccc.dll','');
 QuarantineFile('C:\PC-Checkup\PCCheckUp.exe','');
 QuarantineFile('C:\WINDOWS\System32\cscui.dll','');
 QuarantineFile('C:\WINDOWS\System32\aswTdi.sys','');
 QuarantineFile('C:\WINDOWS\System32\aswMon2.sys','');
 QuarantineFile('C:\WINDOWS\System32\Aavmker4.sys','');
 QuarantineFile('C:\WINDOWS\system32\comdlg32.dll','');
 QuarantineFile('C:\WINDOWS\Explorer.EXE','');
 QuarantineFile('C:\WINDOWS\system32\awtsqrr.dll','');
 QuarantineFile('C:\WINDOWS\system32\adygouve.dll','');
QuarantineFile('C:\WINDOWS\system32\bfsgcttx.dll','');
QuarantineFile('C:\WINDOWS\system32\cpmjyunc.dll','');
QuarantineFile('C:\WINDOWS\system32\fvlkyjhc.dll','');
QuarantineFile('C:\WINDOWS\system32\ghseradj.dll','');
QuarantineFile('C:\WINDOWS\system32\imxkfhul.dll','');
QuarantineFile('C:\WINDOWS\system32\j7281835.dll','');
QuarantineFile('C:\WINDOWS\system32\paqqhguh.dll','');
QuarantineFile('C:\WINDOWS\system32\tpbcxbup.dll','');
QuarantineFile('C:\WINDOWS\system32\ujfiebsk.exe','');
QuarantineFile('C:\WINDOWS\system32\uqsvbuit.dll','');
QuarantineFile('C:\WINDOWS\system32\xusjwgom.dll','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_copy.log');
BC_Activate;
RebootWindows(true);
end.

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=10524.......

boot_copy.log- из папки AVZ прикрепить к вашему следующему ответу

P.S. У вас был аваст в системе ?

[GuFFi.fbr]

P.S. У вас был аваст в системе ?

ммм.. Да был, а что?

сделал архив virus.zip
прикрепил boot_copy.log...
ещё отмечу у меня стоит программка TaskSwitchXP которая меняет Загрузочный экран (boot) , окно приветствия, и тему с иконками (может быть это она нанесла вред winlogon.exe?)

карантин пришёл???

[drongo]

не пришёл , ещё раз загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=10524
ну сомнения у меня были, или дрова от аваста остались или зверь под него косит.
оказалось третье: дров нет, осталась лишь дымка , следы не нужные в системе
вы пришлите, а потом будем смотреть что попало в карантин. Можно с другого компьютера , если с этого не выходит. Может с другим браузером получиться

[GuFFi.fbr]

смерть вирусам и тем кто их делает!!!

Карантин отправлен - смотрите)

[drongo]

Не слабо 16.5 мега А 2 раза это для уверенности ?

[GuFFi.fbr]

) не это просто с оперы отправлял, в ослик забыл вырубить((

[drongo]

у меня такое чувство , что нод мешает копированию. Самое интересное не попало ;(

[GuFFi.fbr]

и что мне делать ?))))))))

[drongo]

Выключите активный мониторинг нода и отключитесь от интернета .
запустите скрипт- и если в архиве окажутся файлы кроме ini, загрузите и в любом случае сообщите.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\awtsqrr.dll','');
 QuarantineFile('C:\WINDOWS\system32\adygouve.dll','');
QuarantineFile('C:\WINDOWS\system32\bfsgcttx.dll','');
QuarantineFile('C:\WINDOWS\system32\cpmjyunc.dll','');
QuarantineFile('C:\WINDOWS\system32\fvlkyjhc.dll','');
QuarantineFile('C:\WINDOWS\system32\ghseradj.dll','');
QuarantineFile('C:\WINDOWS\system32\imxkfhul.dll','');
QuarantineFile('C:\WINDOWS\system32\j7281835.dll','');
QuarantineFile('C:\WINDOWS\system32\paqqhguh.dll','');
QuarantineFile('C:\WINDOWS\system32\tpbcxbup.dll','');
QuarantineFile('C:\WINDOWS\system32\ujfiebsk.exe','');
QuarantineFile('C:\WINDOWS\system32\uqsvbuit.dll','');
QuarantineFile('C:\WINDOWS\system32\xusjwgom.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

[GuFFi.fbr]

в архиве тока *ini
)) и что из этого значит, как вылечить awtsqrr.dll от Virtumonde ? ))

[drongo]

Если вы чуток потерпите, для блага всех - надо подумать . Написать скрипт удаления можно, но хотелось бы заиметь перед этим копии файлов. Что толку, если нод одного знает , а 10 остальных нет ?

А что с ручным поиском ? попробуйте пожалуйста найти файлики . вот например способ :
http://virusinfo.info/showthread.php?t=4567

[GuFFi.fbr]

Если вы чуток потерпите, для блага всех - надо подумать . Написать скрипт удаления можно, но хотелось бы заиметь перед этим копии файлов. Что толку, если нод одного знает , а 10 остальных нет ?

как понять одного знает а 10 остальных нет??? ... он видит в оперативки и в реесте заражённую библиотеку длл awtsqrr.dll какие 10 остальных??
ещё вирус видно утилитой DocWebа - CureIt! (но не удаляецо и не лечитцо)
и видно troyan removerom

прошу вас напишите скрипт, а то йа уже замучился с эти вирусняком ((

А что с ручным поиском ? попробуйте пожалуйста найти файлики . вот например способ :
http://virusinfo.info/showthread.php?t=4567

а что с ручным поиском?? какие файлики найти?)) немного непонял(( йа

[drongo]

вот они , все должны у вас в паке C:\WINDOWS\system32\ лежать, скорее всего скрыты виндоусом:
awtsqrr.dll
adygouve.dll
bfsgcttx.dll
cpmjyunc.dll
fvlkyjhc.dll
ghseradj.dll
imxkfhul.dll
j7281835.dll
paqqhguh.dll
tpbcxbup.dll
ujfiebsk.exe
uqsvbuit.dll
xusjwgom.dll
P.S. вообще-то их 13 , как братьев Оушена
в безопасном режиме поищите

[drongo]

Попробуйте так в безопасном режиме , неужели и теперь не попадёт ? как поживает ручной поиск ?

begin
StopService('NOD32krn');
StopService('sdAuxService');
StopService('sdCoreService');
BC_QrFile('C:\WINDOWS\system32\xusjwgom.dll');
BC_QrFile('C:\WINDOWS\system32\uqsvbuit.dll');
BC_QrFile('C:\WINDOWS\system32\ujfiebsk.exe');
BC_QrFile('C:\WINDOWS\system32\tpbcxbup.dll');
BC_QrFile('C:\WINDOWS\system32\paqqhguh.dll');
BC_QrFile('C:\WINDOWS\system32\j7281835.dll');
BC_QrFile('C:\WINDOWS\system32\imxkfhul.dll');
BC_QrFile('C:\WINDOWS\system32\ghseradj.dll');
BC_QrFile('C:\WINDOWS\system32\fvlkyjhc.dll');
BC_QrFile('C:\WINDOWS\system32\cpmjyunc.dll');
BC_QrFile('C:\WINDOWS\system32\bfsgcttx.dll');
BC_QrFile('C:\WINDOWS\system32\adygouve.dll');
BC_QrFile('C:\WINDOWS\system32\bfsgcttx.dll');
BC_QrFile('C:\WINDOWS\system32\awtsqrr.dll');
BC_DeleteFile('C:\WINDOWS\system32\awtsqrr.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

[Rene-gad]

У меня стоит нод32

Какая версия? Обновите до 2.70.32, если еще не сделали.

[GuFFi.fbr]

Какая версия? Обновите до 2.70.32, если еще не сделали.

Стоит 2.70.32


После выполнения скрипта в безопасном режиме... файлы удалились!

Спасибо огромное!!! Вирусов больше НЕТ!!!

[pig]

Погодите, не убегайте. Там удалялся всего один файл, остальное шло в карантин. Где архив?

[GuFFi.fbr]

Архив?? Ахрхив с чем???)) немного не до понял)... нод и cueit и avz показали что компотер полнустью чист)) йа счастлив...!))

[Muzzle]

архив с карантином,который должен был получиться после выполнения скрипта drongo #15