w32.stration.CM@mm

[mitrandir_nd]

Пришла от подруги ссылка на открытку, кликнул и понеслась...
Теперь с моей аси наверное тоже ссылки идут всем контактам.

Симантек ловит постоянно w32.stration.CM@mm в разных файлах.

Логи прилагаю согласно правилам.

Заранее спасибо.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys','');
 QuarantineFile('C:\lich.sys','');
 QuarantineFile('C:\WINDOWS\System32\fpwprich.exe','');
 QuarantineFile('C:\WINDOWS\system32\fpwprich.dll','');
 QuarantineFile('C:\WINDOWS\system32\lich.exe','');
 DeleteFile('C:\lich.sys');
 DeleteFile('C:\WINDOWS\system32\lich.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

[mitrandir_nd]

Сорри, что запостил сюда. Отправил как положено только без пароля...в правилах не написано, а потом уже поздно было) Переслать?

[Bratez]

Уберите карантин из сообщения.

Добавлено через 2 минуты

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\fpwprich.dll');
 DeleteFile('C:\WINDOWS\System32\fpwprich.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделайте новые логи.

Добавлено через 1 минуту

Это был Email-Worm.Win32.Warezov aka Stration.

[mitrandir_nd]

Новые логи.

Симантек вырубил перед логами, но все равно служба проверки чего то находит..

Наверное глагол "был" еще рано употреблять

[V_Bond]

пофиксите ...

O20 - AppInit_DLLs: e1.dll kbdgmqqm.dll efjtx0jc.dll
O20 - Winlogon Notify: fpwprich - C:\WINDOWS\
O20 - Winlogon Notify: vdmdracp - C:\WINDOWS\system32\vdmdracp.dll

віполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\vdmdracp.dll','');
 QuarantineFile('C:\WINDOWS\system32\efjtx0jc.dll','');
 QuarantineFile('C:\WINDOWS\System32\vdmdracp.exe','');
 QuarantineFile('C:\WINDOWS\System32\efjtx0jc.dll','');
 DeleteFile('C:\WINDOWS\system32\i2ie4m4w1m.exe');
 DeleteFile('C:\WINDOWS\System32\efjtx0jc.dll');
 DeleteFile('C:\WINDOWS\System32\vdmdracp.exe');
 DeleteFile('C:\WINDOWS\system32\efjtx0jc.dll');
 DeleteFile('C:\WINDOWS\system32\vdmdracp.dll');
 BC_DeleteSvc('ZZZsvc_lich');
 BC_DeleteSvc('lich');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи....

[mitrandir_nd]

пофиксил последние две строки. Первой ненаблюдалось.

новые логи прилагаю.
карантин выслал.

[V_Bond]

Восстановление системы: включено -отключить ....

O20 - AppInit_DLLs: e1.dll efjtx0jc.dll
O20 - Winlogon Notify: vdmdracp - C:\WINDOWS\

выполните скрипт ....

begin
 QuarantineFile('efjtx0jc.dll','');
 QuarantineFile('e1.dll','');
 DeleteFile('e1.dll');
 DeleteFile('efjtx0jc.dll');
ExecuteSysClean;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...
повторите логи ...

[mitrandir_nd]

Восстановление отключил.
Новые логи.
Крантин выслал.

[rubin]

Какие проблемы остались?

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Что из этого не нужно?

[mitrandir_nd]

да вроде все в норме.

Спасиба огромное.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 43
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\system volume information\\_restore{12ea87b9-23d6-40df-a452-dbdd3cc6db08}\\rp44\\a0016417.exe - Email-Worm.Win32.Warezov.vo (DrWEB: Win32.HLLM.Limar)
  2. c:\\windows\\system32\\efjtx0jc.dll - Email-Worm.Win32.Warezov.vn (DrWEB: Win32.HLLM.Limar)
  3. c:\\windows\\system32\\fpwprich.dll - Email-Worm.Win32.Warezov.vb (DrWEB: Win32.HLLM.Limar)
  4. c:\\windows\\system32\\fpwprich.exe - Email-Worm.Win32.Warezov.vc (DrWEB: Win32.HLLM.Limar)
  5. c:\\windows\\system32\\i2ie4m4w1m.exe - Email-Worm.Win32.Warezov.vo (DrWEB: Win32.HLLM.Limar)
  6. c:\\windows\\system32\\vdmdracp.dll - Email-Worm.Win32.Warezov.vp (DrWEB: Win32.HLLM.Limar)
  7. c:\\windows\\system32\\vdmdracp.exe - Email-Worm.Win32.Warezov.adc (DrWEB: Win32.HLLM.Limar.2236)