variant of Corkow.F Trojan [not-a-virus:RemoteAdmin.Win32.RA.52126 ]

[mmaaiill]

Windows XP Sp3
Slave - это от twd
svchost заражен variant of Corkow.F Trojan
антивирус NOD32, при старте обнаруживает, но лечить не может.
прогнал AVPTool не помогло, логи от AVZ, Hijack This прилагаю.
Safe boot вызывает 0x000007b

[Info_bot]

Уважаемый(ая) mmaaiill, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\slave.exe','');
 QuarantineFile('C:\Program Files\Common Files\Services\synmsext.xof','');
 QuarantineFile('C:\Documents and Settings\admin\Application Data\1B73C9\1B73C9.exe','');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 DeleteFile('C:\Documents and Settings\admin\Application Data\1B73C9\1B73C9.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','madFlac');
 DeleteFile('C:\Program Files\Common Files\Services\synmsext.xof');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\lanmanserver\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Загрузите quarantine.zip из папки AVZ по красной ссылке в шапке этой темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" правил) и приложите в теме.

[mmaaiill]

скрипт выполнен успешно,
перезагрузку пришлось таки нажать кнопку питания,
вирус при загрузке не обнаружен,
карантин прикрепил,
логи прилагаю =)

[regist]

C:\WINDOWS\Slave.exe

Проверьте этот файл на virustotal
кнопка Выбрать файл (Choose File) - ищите нужный файл у вас в системе - Открыть (Browse) - Проверить (Scan it!). Нажать на кнопку Повторить анализ (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

- Сделайте лог полного сканирования МВАМ.

смените пароли в первую очередь банковские.

[mmaaiill]

в этом файле уверен, сравнил размеры с другими копиями на других компьютерах, сам клал его именно в это место =)
Подпись соответствует. Размер и время тоже. Это ремот админ от twd industries, пользуемся не первый год. Дата файла 02.07.08 18:34 совпадает.
вирустотал
MBAM сейчас прогоню, хотя не очень новая версия тут присутствовала.
пароли это уже придется завтра менять, до утра остается уповать на то, что ключи (в реестре их не было) не увели с носителей.

- - - Добавлено - - -

MBAM лог прилагаю

- - - Добавлено - - -

Из лога MBAM

Обнаруженные файлы: 4
C:\Documents and Settings\admin\Application Data\wndsksi.inf (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\admin\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\All Users\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

Пробовать лечить и еще раз проверку или сразу чего?

[mrak74]

Удалите в MBAM:

Обнаруженные файлы:  4
C:\Documents and Settings\admin\Application Data\wndsksi.inf (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\admin\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\All Users\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

Сделайте повторный лог MBAM.

- - - Добавлено - - -

+ добавьте в исключения антивируса файл C:\WINDOWS\Slave.exe, похоже что название Вашей темы

variant of Corkow.F Trojan [not-a-virus:RemoteAdmin.Win32.RA.52126 ]

он самый и есть.

[mmaaiill]

+ добавьте в исключения антивируса файл C:\WINDOWS\Slave.exe, похоже что название Вашей темы он самый и есть.

еще раз подчеркну, что этот же Slave от twd есть на всех компах и именно в этой папке и такого размера - сравнивал, все совпадает.
других сейчас поудаляю.

[mrak74]

еще раз подчеркну, что этот же Slave от twd есть на всех компах

С этим мы уже разобрались.

+ добавьте в исключения антивируса файл C:\WINDOWS\Slave.exe, похоже что название Вашей темы

Добавить в исключения, это http://www.esetnod32.ru/support/know...phrase_id=7845 , т.к. ESET воспринимает отдельные программы удаленного доступа, как not-a-virus:RemoteAdmin, будут вопросы, задавайте.

[mmaaiill]

почистил, прогнал MBAM, перезагрузил, прогнал еще раз - чисто, нод вроде тоже молчит.
Спасибо, вроде все полечили.

[regist]

про пароли думаю помните,

+ - Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Советы и рекомендации после лечения компьютера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\slave.exe - not-a-virus:RemoteAdmin.Win32.RA.52126 ( DrWEB: Program.RemoteAdmin, BitDefender: Virtool.1335 )