speed2 атака от 02.10.12 [Trojan.Win32.Genome.agnrv ]

[demonmusic]

Здравствуйте!
02.10.12 был атакован еще один компьютер на работе,у меня административные права.
Следствием активности вируса стала блокировка браузеров, смена домашней страницы, попытка перехода на вредоносные ресурсы интернета.
на "машине" стоит антивирусное ПО "Аваст". Было произведено сканирование бесплатными сканерами, но видимым результатам это не привело.
Заранее спасибо.

[Info_bot]

Уважаемый(ая) demonmusic, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\Documents and Settings\lomakina\Application Data\Thinstall\Microsoft Office Enterprise 2007\300000008c00002i\offlb.exe','');
  QuarantineFile('C:\WINDOWS\system32\wxqdtbm.dll','');
  DeleteFile('C:\WINDOWS\system32\wxqdtbm.dll');
 ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

10.1.1.33 ra.bsaa.edu.ru
10.1.100.3 do.bsaa.edu.ru
127.0.0.1 su.ff.avast.com
127.0.0.1 vl.ff.avast.com
127.0.0.1 fraudtarot.net

эти строчки в Hosts сами прописывали ? если да, то после выполнения скрипта добавьте их снова.

- Проведите процедуру, которая описана в первом сообщении тут. Результат загрузки напишите в сообщении здесь.

[demonmusic]

Большое спасибо за столь быстрый ответ и внимание.
Браузеры заработали, но не было времени все протестировать в виду конца рабочего дня.
Выкладываю запрашиваемые логи.



Файл по пункту 4 АВЗ
Файл сохранён как 121002_124942_virusinfo_files_A-DO303C02_506ae2e63b0b7.zip
Размер файла 44685932
MD5 2a4b33d0c886cd00da4d219cdda1ec3e
Заранее спасибо.

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

begin
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
 If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
 Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[demonmusic]

Большое спасибо, установка критичных обновлений это последний пункт?
Заранее спасибо.
Как я понял, при атаке данным вирусом надо смотреть файл *.dll с с генерированным именем в system32 и ссылающуюся на него ветвь реестра,+host чистит.
в правильном ли я направлении.

[regist]

Да, но само лечение лучше не заниматься, а обратиться к нам. Данный вирус может быть не единственным на вашем компе и вы можете не заметить его соседей.

[demonmusic]

Еще раз БОЛЬШОЕ СПАСИБО за помощь!
Вы занимаетесь Хорошим делом!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\wxqdtbm.dll - Trojan.Win32.Genome.agnrv ( DrWEB: Trojan.Mayachok.17758, BitDefender: Gen:Variant.Zusy.19441 )