рассылается "спам" по 17(udp) protokol и 53(dns)Dst.port

[AlexKlo]

а также по 6(tcp) protokol 25(smtp) Dst.port

[AlexKlo]

CureIT проверить не удаётся ,после нажатия "старт" комп перегружается

[Bratez]

Выполните скрипт в AVZ:

begin
 BC_QrFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_QrFile('C:\WINDOWS\system32\Drivers\Fkp62.sys');
 BC_QrFile('C:\WINDOWS\system32\Drivers\Jnq52.sys');
 BC_QrFile('C:\WINDOWS\system32\Drivers\Vqi35.sys');
 BC_QrFile('C:\WINDOWS\System32\CcEvtSvc.exe');
 BC_QrFile('C:\WINDOWS\system32\winlagan.exe');
 BC_QrFile('C:\WINDOWS\system32\Drivers\asc3550p.sys');
 BC_QrFile('C:\WINDOWS\system32\Drivers\diperto6ff4-a8c.sys');
 BC_QrFile('C:\WINDOWS\system\hipsrv.mm');
 BC_QrFile('C:\WINDOWS\system32\Drivers\NdisWon.sys');
 BC_QrFile('C:\WINDOWS\system32\taskmon.sys');
 BC_QrFile('C:\WINDOWS\system32\ctfmona.exe');
 BC_QrFile('C:\WINDOWS\system32\rpcc.dll');
 BC_QrFile('C:\WINDOWS\system32\n2ewma1xxsv2234.exe');
 BC_QrFile('C:\WINDOWS\temp\winlogon.exe');
 BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Fkp62.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Jnq52.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Vqi35.sys');
 BC_DeleteFile('C:\WINDOWS\System32\CcEvtSvc.exe');
 BC_DeleteFile('C:\WINDOWS\system32\winlagan.exe');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\asc3550p.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\diperto6ff4-a8c.sys');
 BC_DeleteFile('C:\WINDOWS\system\hipsrv.mm');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\NdisWon.sys');
 BC_DeleteFile('C:\WINDOWS\system32\taskmon.sys');
 BC_DeleteFile('C:\WINDOWS\system32\ctfmona.exe');
 BC_DeleteFile('C:\WINDOWS\system32\rpcc.dll');
 BC_DeleteFile('C:\WINDOWS\system32\n2ewma1xxsv2234.exe');
 BC_DeleteFile('C:\WINDOWS\temp\winlogon.exe');
 BC_DeleteSvc('taskmon.sys');
 BC_DeleteSvc('NdisWon');
 BC_DeleteSvc('hipsrv');
 BC_DeleteSvc('diperto6ff4-a8c');
 BC_DeleteSvc('asc3550p');
 BC_DeleteSvc('Vqi35');
 BC_DeleteSvc('Fkp62');
 BC_DeleteSvc('Jnq52');
 BC_DeleteSvc('Google Online Search Service');
 BC_DeleteSvc('CcEvtSvc');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=19120).
Обновите базы AVZ и сделайте новые логи.

[AlexKlo]

Файл сохранён как080304_055419_2008-03-04_47cd386bbe378.zipРазмер файла215708MD52c04c2f6670483b34941ae6c69b89f60

[rubin]

Trojan-Downloader.Win32.Agent.kfd C:\WINDOWS\System32\CcEvtSvc.exe
Trojan-Downloader.Win32.Winlagons.ag C:\WINDOWS\system32\winlagan.exe
Trojan.Win32.Agent.gauC:\WINDOWS\system\hipsrv.mm
Trojan-Proxy.Win32.Saturn.ab C:\WINDOWS\system32\Drivers\NdisWon.sys
not-a-virus:Downloader.Win32.WinFixer.ed C:\WINDOWS\system32\ctfmona.exe
Email-Worm.Win32.Zhelatin.vu C:\WINDOWS\system32\n2ewma1xxsv2234.exe
Trojan-Proxy.Win32.Dlena.en C:\WINDOWS\system32\rpcc.dll

[AlexKlo]

только один. комп перегружается

[Bratez]

Отключите антивирус.
Выполните поочередно два скрипта:

begin
 SearchRootkit(false, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Fkp62', 'Start');
 BC_QrFile('C:\WINDOWS\System32\drivers\Fkp62.sys');
 BC_DeleteSvc('Fkp62');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\Fkp62.sys');
 BC_Activate;
 RebootWindows(true); 
end.

begin
 SearchRootkit(false, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Vqi35', 'Start');
 BC_QrFile('C:\WINDOWS\System32\drivers\Vqi35.sys');
 BC_DeleteSvc('Vqi35');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\Vqi35.sys');
 BC_Activate;
 RebootWindows(true); 
end.

После каждого будет перезагрузка.
Затем сделайте еще раз лог syscheck.

[AlexKlo]

после 2-х скриптов

[AlexKlo]

syscheck

[PavelA]

Один удалился, надо будет повторить первый скрипт из сообщения
Bratez.

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ctfmona.exe','');
 QuarantineFile('C:\WINDOWS\system32\rpcc.dll','');
 DeleteFile('C:\WINDOWS\system32\rpcc.dll');
 DeleteFile('C:\WINDOWS\system32\ctfmona.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Там еще вот этот есть C:\WINDOWS\system32\WLCtrl32.dll, но его будем след. заходом убивать.

[AlexKlo]

повторил первый из двух и выполнил последний
24.8кб

[V_Bond]

скачать C:\WINDOWS\system32\WLCtrl32.dll ,C:\WINDOWS\system32\Drivers\Fkp62.sys - force delete
выполните скрипт ... авз

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Fkp62.sys');
 BC_DeleteSvc('Fkp62');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ...

[AlexKlo]

логи

[PavelA]

"Восст. системы" надо отключить!!!

Не надо карантин сюда прикладывать, даже пустой.

После методов V_Bond почти все умерли.
Дочищаем:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\SysCleaner\com\scsdelete.dll','');
 DeleteFile('WLCtrl32.dll');
ExecuteSysClean;

RebootWindows(true);
end.

Если, что-то попадет в карантин, то загрузить через ссылку вверху темы.

[AlexKlo]

простите,увидел архив и прилепил
машина уже не лезит в инет , можно ли примениль скрипты к другим машинам,у меня ещё 2 таких, ломятся по указанным в самом начале портам

[PavelA]

НЕТ!! Там могут быть файлы с другими именами.
Нужна отдельная тема для каждой машины.

[AlexKlo]

спасибо,если получится завтра продолжим с другими
что по данному случаю ??

[V_Bond]

конечно продолжим ...
по данному случаю нужны логи ..

[AlexKlo]

2 лога

[V_Bond]

в логах чисто... не плохо бы еще остатки симантека дочистить ...