Еще раз Trojan.Win32.BHO.abo

[ilyais]

Такая тема уже есть, но файл, указанный в ней у меня не находится. поэтому обращаюсь за помощью

[V_Bond]

пофиксите ...

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: (no name) - {2D912527-7744-40A7-A188-FCFB8FC4CF89} - C:\WINDOWS\system32\CddbLangI.dll
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O23 - Service: Adfpddnkqtu - Unknown owner - (no file)

отключите антивирус ...
выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Rflw53.sys','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Sgyo58.sys','');
 QuarantineFile('C:\WINDOWS\system32\CddbLangI.dll','');
 DeleteFile('C:\WINDOWS\system32\CddbLangI.dll');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\nfdbuivg.dat');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\Sgyo58.sys');
 BC_DeleteFile('\SystemRoot\system32\drivers\nfdbuivg.dat');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\Rflw53.sys ');
 BC_ImportAll;
 BC_DeleteSvc('Rflw53');
 BC_DeleteSvc('Sgyo58');
 BC_DeleteSvc('bpfbwamh');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи...

[ilyais]

угу

[rubin]

1.

begin
 SearchRootkit(false, true);
 DelBHO('2D912527-7744-40A7-A188-FCFB8FC4CF89');
 RegKeyDel('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\','Adfpddnkqtu');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\bpfbwamh', 'Start');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Sgyo58', 'Start');
 RebootWindows(true); 
end.

2.

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 BC_DeleteFile('C:\WINDOWS\system32\CddbLangI.dll');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\Sgyo58.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\nfdbuivg.dat');
 BC_DeleteSvc('Sgyo58');
 BC_DeleteSvc('bpfbwamh');
 BC_Activate;
 RebootWindows(true);
end.

Повторите логи

Добавлено через 7 минут

Из карантина:
Trojan.Win32.BHO.abo C:\WINDOWS\system32\CddbLangI.dll
Rootkit.Win32.Agent.kbC:\WINDOWS\system32\drivers\Rflw53.sys
Rootkit.Win32.Agent.px C:\WINDOWS\system32\drivers\Sgyo58.sys

[ilyais]

есть

[rubin]

Почти чисто...
Сделайте дополнительный лог

[ilyais]

Почти чисто...

не может не радовать)

[rubin]

Выполните скрипт:

begin
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Adfpddnkqtu', 'Start');
RebootWindows(true);
end.

Затем:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\drivers\Adfpddnkqtu.sys','');
 BC_QrFile('C:\WINDOWS\system32\drivers\Adfpddnkqtu.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\Adfpddnkqtu.sys');
 BC_DeleteSvc('Adfpddnkqtu');
 BC_Activate;
 RebootWindows(true);
end.

Карантин пришлите и повторите последний лог

[ilyais]

сделано. только когда лог карантина делал, Касперский на эти файлы ругаться стал. удалил, не страшно?

[V_Bond]

в логах чисто ...
какие-то проблемы остались ?

[ilyais]

вроде нет. аутпост никакой неопознанной активности не показывает.
спасибо огромное

[rubin]

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что из этого не нужно?

[ilyais]

машина домашняя, но ось ставилась с образа сисадмина, поэтому и работают эти службы по ходу

так что нафиг:
Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)

>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[V_Bond]

если нет локалки ... то так ...
выполните скрипт ....

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 28
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\cddblangi.dll - Rootkit.Win32.Podnuha.y (DrWEB: Trojan.DownLoader.37561)
  2. c:\\windows\\system32\\drivers\\rflw53.sys - Trojan.Win32.Srizbi.gt (DrWEB: Trojan.NtRootKit.433)
  3. c:\\windows\\system32\\drivers\\sgyo58.sys - Rootkit.Win32.Agent.px (DrWEB: Trojan.Sentinel)