Heur.Suspicious и TrojWare.Win32.Trojan.Agent.Gen

[Александр Фролов]

Здравствуйте! Проблема состоит в следующем: Ставлю на копьютер чистую систему и ничего боле. Включаю ProcessExsplorer, и наблюдаю некоторое время. Все чисто! Стоит компьютер подключить к сети, как сразу появляются процессы csdrive32.exe и 1.exe. Причем цифра в названии последнего каждый раз разная. Открываем c:\documents and settings\afone-2\application data\ и обнаруживаем много этих зверей с разными цифрами. Идем c:\documents and settings\afone-2\ и обнаруживаем еще одного с названием fuwin.exe оно не изменяется. В корзине так же обнаруживаю кучу всякой нечести типа: C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe или c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\gwind.exe. И все это появляется при включении сети! Второй компьютер в сети чистый и подобный признаков не имеет. На роутере включина служба No-IP и перенаправляется как раз на тот компьютер который заражается. При подключении флешки к зараженному компьютеру, все папки скрываются, а вместо них появляются ярлыки на них. Появляется кривой авторан auooouo.inf с бинарным кодом внутри и такие как RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\gwind.exe и RECYCLER\2bc58ef0.exe. У последнего имя изменяется. Comodo определяет их как Heur.Suspicious@284494025 и TrojWare.Win32.Trojan.Agent.Gen@284492970 соответственно. Их не находят лечющие утлиты ни Dr.Web, ни Kaspersky, ни AVZ, ни ClamWin, а установщик Comodo просто не хочет запускаться. Надеюсь Моя информация не будет лишней.

[Info_bot]

Уважаемый(ая) Александр Фролов, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена

Установите SP3 (может потребоваться активация) + все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\WINDOWS\system32\48.exe','');
 QuarantineFile('C:\WINDOWS\system32\31.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\gwind.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 TerminateProcessByName('c:\windows\csdrive32.exe');
 TerminateProcessByName('c:\documents and settings\afone-2\application data\1.exe');
 QuarantineFile('c:\windows\csdrive32.exe','');
 QuarantineFile('c:\documents and settings\afone-2\application data\1.exe','');
 DeleteFile('c:\documents and settings\afone-2\application data\1.exe');
 DeleteFile('c:\windows\csdrive32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\31.exe');
 DeleteFile('C:\WINDOWS\system32\48.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте лог gmer

[Александр Фролов]

После выполнения скрипта AVZ вирусы исчезли. Но при подключении сети, снова появились. Очевидно этот вирус лезет через сеть. Позже переустановлю систему, отключу NO-IP и подключу интернет. mbam на зараженном компьютере запускаться не захотел. Лога нет.

- - - Добавлено - - -

Есть идея после удаления вируса поставить мониторинг TCP соединения и подключить интернет. Нужно понять откуда именно лезет эта дрянь.

[thyrex]

Но при подключении сети

Обновления для системы все установили или только SP3?

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Documents and Settings\AFone-2\Application Data\Erlols.exe','');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Erlols');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

1. Откройте Блокнот и скопируйте в него текст скрипта

kufufxdc.exe -del service bgtqno
kufufxdc.exe -del file "C:\Documents and Settings\AFone-2\Application Data\Erlols.exe"
kufufxdc.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\bgtqno"
kufufxdc.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\bgtqno"
kufufxdc.exe -reboot

2. Нажмите Файл - Сохранить как
3. Выберите папку, в которую сохранили kufufxdc.exe (gmer)
4. Укажите Тип файла - Все файлы (*.*)
5. Введите имя файла cleanup.bat и нажмите кнопку Сохранить
6. Запустите cleanup.bat

ВНИМАНИЕ: Компьютер перезагрузится!!!

Сделайте новый лог gmer

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи AVZ

[Александр Фролов]

SP3+Critical preSP4 «All in One»

[thyrex]

Выполняйте написанное и посмотрим, что будет в новых логах

[Александр Фролов]

Могу сразу сказать, что скрипты бесполезны. Смотрим: pe.JPGar2.JPGar.JPGfi2.JPGfi3.JPGfi.JPG

- - - Добавлено - - -

Делаю новые логи.

- - - Добавлено - - -

Выслал запрашиваемый карантин. Оказалось что Erlols.exe присутствует не постоянно. При презагрузке компьютера стали открываться мои документы. Позже будут логи.

- - - Добавлено - - -

Отключил NO-IP в роутере. Посмотрим как себя вести будет.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\csdrive32.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('c:\windows\csdrive32.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('c:\windows\csdrive32.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKLM','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', 20000);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- Сделайте лог полного сканирования МВАМ.

- - - Добавлено - - -

Выполните скрипт в AVZ при наличии доступа в интернет:

begin
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
 If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
 Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[Александр Фролов]

Новые логи.

- - - Добавлено - - -

Поставил 4 заплатки по найденным уязвимостям.

[thyrex]

Удалите в МВАМ все найденное

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 29
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\afone-2\\application data\\erlols.exe - Trojan-Ransom.Win32.ZedoPoo.abd ( DrWEB: BackDoor.IRC.NgrBot.146, BitDefender: Trojan.Generic.KDV.658774, AVAST4: Win32:Jorik-JD [Trj] )
  2. c:\\documents and settings\\afone-2\\application data\\1.exe - Trojan.Win32.Jorik.Tedroo.awn ( DrWEB: BackDoor.BlackEnergy.14, BitDefender: Trojan.Generic.KDV.659378, AVAST4: Win32:Kryptik-JAP [Trj] )
  3. c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\gwind.exe - Backdoor.Win32.Azbreg.aiw ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KDV.659265, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Jorik-JD [Trj] )
  4. c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1830\\zaberg.exe - Backdoor.Win32.Azbreg.aiv ( DrWEB: BackDoor.Siggen.637, BitDefender: Trojan.Generic.KDV.658638, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Jorik-JD [Trj] )
  5. c:\\windows\\csdrive32.exe - Trojan.Win32.Jorik.IRCbot.nit ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KDV.658986, NOD32: IRC/SdBot trojan, AVAST4: Win32:Jorik-JC [Trj] )
  6. c:\\windows\\csdrive32.exe - Trojan.Win32.Jorik.IRCbot.niu ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KDV.658621, NOD32: IRC/SdBot trojan, AVAST4: Win32:IRCBot-ETS [Trj] )
  7. c:\\windows\\system32\\31.exe - Backdoor.Win32.Azbreg.aiw ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KDV.659265, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Jorik-JD [Trj] )
  8. c:\\windows\\system32\\48.exe - Backdoor.Win32.Azbreg.aiw ( DrWEB: BackDoor.Ddoser.131, BitDefender: Trojan.Generic.KDV.659265, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Jorik-JD [Trj] )