Показано с 1 по 10 из 10.

Все началось с ovrscn.sys - Win32/Haxdoor (заявка № 21318)

  1. #1
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    36

    Thumbs up Все началось с ovrscn.sys - Win32/Haxdoor

    Помогите, пожалуйста.

    Nod в степени свежести на 21.03.08 начал ругаться на ovrscn.sys - Win32/Haxdoor. После запуска глубокого сканирования зараженные файлы просил подтверждения на удаление инфицированных файлов и перезагрузку, но это не помогало.

    Сегодня обновил базу nod до актуального состояния и провел глубокий анализ.

    C:\Documents and Settings\user\Local Settings\Temp\sv32_0.exe - Win32/PSW.LdPinch.GHT троян
    C:\Documents and Settings\user\Local Settings\Temp\{9CC3F3F2-0AD2-4B2A-9C76-8592330B00A1}.exe - Win32/Haxdoor троян
    C:\Documents and Settings\user\Local Settings\Temp\0\svchost.exe - Win32/PSW.LdPinch.GHT троян
    C:\Documents and Settings\user\Local Settings\Temp\2\svchost.exe - Win32/Srizbi.Gen троян
    C:\Documents and Settings\user\Local Settings\Temp\3\svchost.exe - модифицированный Win32/Injector.Z троян
    C:\WINDOWS\system32\ovrscn.sys - Win32/Haxdoor троян
    C:\WINDOWS\system32\ovwscn.sys - Win32/Haxdoor троян
    C:\WINDOWS\system32\qy.sys - Win32/Haxdoor троян
    C:\WINDOWS\system32\qz.dll - Win32/Haxdoor троян
    C:\WINDOWS\system32\qz.sys - Win32/Haxdoor троян

    Удалять их nod не предлагал, просто выдал результаты.

    Проверил cureit с cd в безопасном режиме. Обнаружились и удалились:

    comrep.dll;c:\windows\system32;Trojan.DownLoader.5 4066;Удален.;
    oig32.sys;c:\windows\system32\drivers;Trojan.Spamb ot.2830;Удален.;
    ovrscn.sys;c:\windows\system32;BackDoor.Haxdoor.45 4;Удален.;
    ovwscn.sys;c:\windows\system32;BackDoor.Haxdoor.44 0;Удален.;
    svshost.dll;c:\windows\system32;Trojan.Proxy.3056; Удален.;
    2.tmp;C:\;Trojan.Spambot.3099;Удален.;
    a1-231[1].dat;C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\NHD0CDFE;Trojan.MulDrop.12136;Уд ален.;
    a1-231[2].dat;C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\NHD0CDFE;Trojan.MulDrop.12136;Уд ален.;
    a1-231[3].dat;C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\NHD0CDFE;Trojan.MulDrop.12136;Уд ален.;
    iexplorer.exe;C:\Documents and Settings\user;Trojan.PWS.Pace;Удален.;
    IH2F82.tmp;C:\Documents and Settings\user\Local Settings\Temp;Trojan.Packed.147;Удален.;
    PLUG1.EXE;C:\Documents and Settings\user\Local Settings\Temp;Trojan.Packed.162;Удален.;
    sv32_0.exe;C:\Documents and Settings\user\Local Settings\Temp;Trojan.PWS.LDPinch.1941;Удален.;
    sv32_1.exe;C:\Documents and Settings\user\Local Settings\Temp;Trojan.MulDrop.13597;Удален.;
    svc32_0.exe;C:\Documents and Settings\user\Local Settings\Temp;Trojan.PWS.LDPinch.1941;Удален.;
    {9CC3F3F2-0AD2-4B2A-9C76-8592330B00A1}.exe;C:\Documents and Settings\user\Local Settings\Temp;BackDoor.Haxdoor.363;Удален.;
    svchost.exe;C:\Documents and Settings\user\Local Settings\Temp\0;Trojan.PWS.LDPinch.1941;Удален.;
    svchost.exe;C:\Documents and Settings\user\Local Settings\Temp\1;BackDoor.Foman;Удален.;
    svchost.exe;C:\Documents and Settings\user\Local Settings\Temp\2;Trojan.Sentinel;Удален.;
    02EFDRDA.NQF;C:\Program Files\nod32\infected;BackDoor.Haxdoor.363;Удален.;
    4SJOK4BA.NQF;C:\Program Files\nod32\infected;Trojan.MulDrop.12136;Удален.;
    BZ2O43BA.NQF;C:\Program Files\nod32\infected;BackDoor.Haxdoor.440;Удален.;
    DCJIYADA.NQF;C:\Program Files\nod32\infected;Trojan.DownLoader.14310;Удале н.;
    F031BOCA.NQF;C:\Program Files\nod32\infected;Trojan.Spambot.2830;Удален.;
    NPE5LMDA.NQF;C:\Program Files\nod32\infected;Trojan.MulDrop.12136;Удален.;
    QS2WRBBA.NQF;C:\Program Files\nod32\infected;BackDoor.Haxdoor.454;Удален.;
    UW0LYKDA.NQF;C:\Program Files\nod32\infected;Trojan.DownLoader.56740;Удале н.;
    winlogon.exe;C:\WINDOWS;Trojan.Spambot.3099;Удален .;
    qy.sys;C:\WINDOWS\system32;BackDoor.Haxdoor.454;Уд ален.;
    qz.dll;C:\WINDOWS\system32;BackDoor.Haxdoor.440;Уд ален.;
    qz.sys;C:\WINDOWS\system32;BackDoor.Haxdoor.440;Уд ален.;
    syst2.exe;C:\WINDOWS\system32;Trojan.Packed.162;Уд ален.;
    systff.exe;C:\WINDOWS\system32;Trojan.Packed.162;У дален.;
    systs.exe;C:\WINDOWS\system32;Trojan.Packed.162;Уд ален.;
    systw2.exe;C:\WINDOWS\system32;Trojan.Packed.162;У дален.;
    systws.exe;C:\WINDOWS\system32;Trojan.Packed.162;У дален.;
    tmp_02b.exe;C:\WINDOWS\system32;Trojan.Packed.162; Удален.;
    tmp_066.exe;C:\WINDOWS\system32;Trojan.Packed.162; Удален.;
    tmp_31p.exe;C:\WINDOWS\system32;Trojan.Packed.162; Удален.;
    tmp_s.exe;C:\WINDOWS\system32;Trojan.Packed.162;Уд ален.;
    win_5k.exe;C:\WINDOWS\system32;Trojan.Packed.162;У дален.;
    win_8.exe;C:\WINDOWS\system32;Trojan.Packed.162;Уд ален.;
    symavc32.sys;C:\WINDOWS\system32\drivers;Trojan.Sp ambot.2830;Удален.;
    4F70.tmp;C:\WINDOWS\Temp;Trojan.MulDrop.12136;Удал ен.;
    5207.tmp;C:\WINDOWS\Temp;Trojan.MulDrop.12136;Удал ен.;
    539F.tmp;C:\WINDOWS\Temp;Trojan.MulDrop.12136;Удал ен.

    После этого провел проверку avz и hijackthis по указанной методике. Файлы прикреплены. Насколько система очистилась и требуются ли дополнительные меры?

    Пока nod вроде не ругается.

    Спасибо.


    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\syst3.dll','');
     QuarantineFile('C:\WINDOWS\system32\liar[1].exe','');
     QuarantineFile('D:\autorun.inf','');
     QuarantineFile('C:\autorun.inf','');
     QuarantineFile('_.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
     QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
     QuarantineFile('d:\buffoon.exe','');
     QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
     DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
     DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
     DeleteFile('C:\Documents and Settings\user\cftmon.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
     DeleteFile('C:\autorun.inf');
     DeleteFile('D:\autorun.inf');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=21318

    2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )
    Код:
    O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)
    Добавлено через 1 минуту

    В хост файл Вы вносили изменения?
    Последний раз редактировалось wise-wistful; 10.04.2008 в 14:04. Причина: Добавлено

  4. #3
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    36
    скрипт выполнил, карантин отправил.
    строки пофиксил.

    целенаправленно в хост файл изменения не вносил, поскольку не знаю, что это такое. но мог случайно сделать, не зная, что именно делаю (или зная, что делаю, но не зная, что это называется изменить хост файл).

    Спасибо.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от PedroDon Посмотреть сообщение
    скрипт выполнил, карантин отправил.
    строки пофиксил.
    Логи повторите, плиз.

  6. #5
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    36

    высылаю логи

    высылаю логи
    Вложения Вложения

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1554
    Пофиксите в HijackThis:
    Код:
    F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,_,,,
    O4 - HKLM\..\Run: [mssysif] C:\WINDOWS\system32\liar[1].exe
    O20 - AppInit_DLLs: C:\WINDOWS\system32\syst3.dll
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\liar[1].exe');
     DeleteFile('C:\WINDOWS\system32\syst3.dll');
     DeleteFile('C:\Buffoon.exe');
     DeleteFile('D:\Buffoon.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    ExecuteRepair(13);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Сделайте новые логи, начиная с п.10 правил.
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    36

    выполнил

    пофиксил, скрипт выполнил, логи начиная с п. 10 правил приаттачил.

    спасибо.
    Вложения Вложения

  9. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1500
    в логах чисто ...

  10. #9
    Junior Member Репутация
    Регистрация
    09.04.2008
    Сообщений
    5
    Вес репутации
    36

    Спасибо.

    Всем спасибо.

  11. #10
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 21
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\autorun.inf - Worm.Win32.Delf.ge (DrWEB: Win32.HLLW.Autoruner.1797)
      2. d:\\autorun.inf - Worm.Win32.Delf.ge (DrWEB: Win32.HLLW.Autoruner.1797)
      3. d:\\buffoon.exe - Worm.Win32.Delf.gc (DrWEB: Win32.HLLW.Buffoon)


  • Уважаемый(ая) PedroDon, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Backdoor.Win32.Haxdoor.kz
      От XPOHAPUYC в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 22.02.2009, 04:42
    2. BackDoor.Win32.HaxDoor.kz не убивается ни чем
      От Dikvertin в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 22.02.2009, 04:21
    3. BackDoor.Haxdoor.440 в ovrscn.dll
      От Netrat в разделе Помогите!
      Ответов: 16
      Последнее сообщение: 22.02.2009, 02:28
    4. Проблема: Backdoor.Win32.Haxdoor.kz
      От Nekiydima в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 06.05.2008, 23:49
    5. Ответов: 3
      Последнее сообщение: 15.12.2006, 07:11

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00095 seconds with 17 queries