win32/agent.nhd.exe

[Step]

Через некоторое время(небольшое) после загрузки,Nod сообщает, что обнаружен win32/agent.nhd.exe в dll-ке при доступе к ней totour.exe. Название DLL всё время разное. Слетают настройки сети. Если опять всё прописать вручную, то локалка появляется, интернет-нет. В autoruns в разделе winsock появляются записи с этой dll. Файл соответственно не found. Если убрать галочки, то после перезагрузки инет появляется и существует несколько секунд, до тех пор, пока Nod не прибивает dll, уже с другим именем. При сканировании ни Nod, ни CureIT, ни AVZ ничего не находят. Логи прилагаю.

[rubin]

В каком месте прилагаются логи?

[Step]

Вроде были. Сейчас еще раз попробую.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntkrnlpa.exe','');
QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
QuarantineFile('C:\WINDOWS\system32\eqolfgywkvc.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

Скачайте WinSockxpFix: http://www.tacktech.com/pub/winsockfix/WinsockFix.zip
но пока не запускайте.

[Step]

Комп будет доступен только завтра, сделаю - отпишусь. WinsockFix брал отсюда: http://www.veldhuizen.speedxs.nl/ , это то-же самое?

[Bratez]

Да, это оно.
И еще: найдите дистрибутив своей версии Windows.

[Step]

Ок. Спасибо.

[Step]

Вчера не успел. Скрипт выполнил, карантин отослал.

[V_Bond]

ntkrnlpa.exe_, ntoskrnl.exe_ - Trojan.Win32.Patched.au ....
лучше всего заменить на чистые из дистрибутива ....

[Muzzle]

файлы ntkrnlpa.exe, ntoskrnl.exe патчены - Trojan.Win32.Patched.au
1)Их нужно заменить,для этого вам и понадобиться дистрибутив с windows XP.
Заменить можно следующим образом

Пуск--выполнить--cmd
expand x:\i386\ntoskrnl.ex_ y:\windows\system32\ntoskrnl.exe
x - буква CD, y - буква диска с windows xp
и так же заменяем
expand x:\i386\ntkrnlpa.ex_ y:\windows\system32\ntkrnlpa.exe

2)С помощью AVZ делаем поиск файла eqolfgywkvc.dll(как это сделать можно узнать из моей подписи)
если найдётся то поместить в карантин с помощью AVZ и отправить по правилам.

3)Выполните скрипт :

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\eqolfgywkvc.dll');
 BC_DeleteFile('C:\WINDOWS\system32\eqolfgywkvc.dll');
ExecuteSysClean;
ExecuteRepair(15);
BC_Activate;
RebootWindows(true);
end.

может пропасть интернет,тогда воспользуйтесь утилитой WinsockFix,предварительно запомнив настройки подключения,ибо WinsockFix их сбросит.

[Bratez]

Уточнение к вышесказанному:
1. Отключите восстановление системы!
2. Скорее всего, указанные команды придется выполнять не в cmd а в консоли восстановления.
3. По окончании процедур обновите базы AVZ и сделайте новые логи.

[Step]

Файлы подменил. Сообщение исчезло, сеть не пропадает. В логах есть totour.exe в system32, но судя по тому,что он беззащитно валяется в папке, а не удаляется Explorerом, он не активен и его можно удалить даже руками. Eqolfgywkvc.dll искать бесполезно - это та самая dll, которая при каждой загрузке меняет имя и убивается Нодом. Выдрал из карантина Нода - название другое, но смысл тот-же, заархивировал AVZ, высылаю на всякий случай. Логи тоже.

[V_Bond]

выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\totour.exe');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи ....

[Step]

Есть.

[Bratez]

Ну теперь чистота и порядок.
Отключите вот эти службы для профилактики:

>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)

[Step]

Уже. Спасибо.

[Muzzle]

Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать электронную книгу)"Безопасный Интернет. Универсальная защита для Windows ME - Vista".


Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\ntkrnlpa.exe - Trojan.Win32.Patched.au (DrWEB: Trojan.Spambot.2553)
  2. c:\\windows\\system32\\ntoskrnl.exe - Trojan.Win32.Patched.au (DrWEB: Trojan.Spambot.2553)
  3. d:\\temp\\virus\\rarlpkrqnwxuv.dll - Trojan.Win32.Msnetax.l (DrWEB: Trojan.Vqten)