Trojan.Win32.BHO.abo

[d.ivanov]

сначала начал глючить интернет-эксплорер: в в гугле и яндексе при попытке отрыть результаты поиска открываются совершенно левые страницы. я установил нортон сканер, он нашел и удалил несколько червей. трояна Trojan.Win32.BHO.abo он вылечить не смог. потом я установил касперского, он тоже не вылечил. после этого комп стал перезагружаться самопроизвольно через минуту после запуска. при этом если выключать касперского, то этого не происходит.

[rubin]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\oleauth32.dll','');
 QuarantineFile('C:\WINDOWS\system32\mstscex.dll','');
 QuarantineFile('c:\windows\system32\admpars.dll','');
 DeleteFile('C:\WINDOWS\system32\oleauth32.dll');
 DeleteFile('C:\WINDOWS\system32\mstscex.dll');
 DeleteFile('c:\windows\system32\admpars.dll');
 BC_ImportAll;
 BC_QrFile('C:\WINDOWS\System32\drivers\hevdsqqx.dat');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\hevdsqqx.dat');
 BC_DeleteSvc('rwsacwnk');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O2 - BHO: (no name) - {17E0D391-8F23-4A38-B128-18D3F41C2DBC} - C:\WINDOWS\System32\admpars.dll

[d.ivanov]

есть похожая:
O2 – BHO: AcroIEHIprObj Class – {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} – C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

что фиксить-то в итоге?

[V_Bond]

сделайте новые логи ....

[d.ivanov]

логи сделал, но по-прежнему нет нужной строки

[rubin]

Выполните скрипт:

begin
RegKeyDel('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\','rwsacwnk');
BC_DeleteSvc('rwsacwnk');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\System32\drivers\hevdsqqx.dat');
 BC_ImportDeletedList;
 BC_DeleteFile('C:\WINDOWS\System32\drivers\hevdsqqx.dat');
 BC_DeleteSvc('rwsacwnk');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Затем сделайте повторно лог virusinfo_syscure.zip
В HiJackThis ничего фиксить не надо, AVZ сам все почистил

[d.ivanov]

вот

[rubin]

Чисто.
Что из этого не нужно?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[d.ivanov]

могу сказать, что нужно:
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя


а про остальное мне сложно сказать, нужно или нет. мне кажется, что для моего домашнего ПК большинство этих служб не пригодится

[rubin]

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('Alerter', 4);
SetServiceStart('Messenger', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

[d.ivanov]

код выполнил.
касперский перестал ругаться на вирус, но по-прежнему, если его не отключать при запуске, комп самопроизвольно перезагружается через минуту. в чем тут может быть дело? может к черту касперского?))
и еще: стоит ли обратно включить восстаносвление системы?

[rubin]

Касперский - хороший антивирус, зря Вы так...
Восстановление можно включить.
Может процессор греется? Проблемы с блоком питания?

[d.ivanov]

до установки Касперского процессор не грелся, с блоком питания проблем тоже вроде не было...
в любом случае спасибо вам огромное, что вылечили трояна!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\admpars.dll - Rootkit.Win32.Podnuha.y (DrWEB: Trojan.DownLoader.37561)
  2. c:\\windows\\system32\\mstscex.dll - Trojan-Downloader.Win32.Agent.bnm (DrWEB: Trojan.Rawlam)
  3. c:\\windows\\system32\\oleauth32.dll - Trojan-Downloader.Win32.Agent.bnm (DrWEB: Trojan.Rawlam)