Показано с 1 по 19 из 19.

Вирус в winlogon.exe (заявка № 22549)

  1. #1
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36

    Thumbs up Вирус в winlogon.exe

    Всем добрый день.
    Помогите пожалуйста.
    Некий vtuolevo.dll загружается вместе с winlogon.exe. Уходит трафик.
    Avz пишет подозрение на AdvWare.Win32.Virtumonde.qne.
    Я нашел пачку Keylogger в автозагрузке. Убил. Сделал проверку, перезагрузился. После перезагрузки в систему стало ломится на установку неизвестное устройство. Трафик вроде как восстановился, но надолго ли.

    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,462
    Вес репутации
    2500
    Выполнить скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\system32\nnnkLcCT.dll','');
    QuarantineFile('C:\WINDOWS\system32\Drivers\SRTSPX.SYS','');
     QuarantineFile('C:\WINDOWS\system32\Drivers\SRTSPL.SYS','');
     QuarantineFile('C:\WINDOWS\system32\Drivers\SRTSP.SYS','');
     DeleteFile('C:\WINDOWS\system32\cbXQkkJA.dll');
     DeleteFile('C:\WINDOWS\system32\hgGyyaxx.dll');
     DeleteFile('C:\WINDOWS\system32\pmnlkhgD.dll');
     DeleteFile('C:\WINDOWS\system32\rqRIbccD.dll');
     DeleteFile('C:\WINDOWS\system32\tuvUlkHX.dll');
     DeleteFile('C:\WINDOWS\system32\tuvVNFyX.dll');
     DeleteFile('C:\WINDOWS\system32\vtUoLEVO.dll');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Загрузить ВЕСЬ карантин. Сделать повторно логи.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  4. #3
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36
    На счет карантина. Мне тупо в AVZ папку Quarantine зазипить, запоролить и выслать вам или что-то через AVZ сделать?

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Shu_b
    Регистрация
    02.11.2004
    Сообщений
    3,553
    Вес репутации
    1640
    Цитата Сообщение от 7tas Посмотреть сообщение
    На счет карантина. Мне тупо в AVZ папку Quarantine зазипить, запоролить и выслать вам или что-то через AVZ сделать?
    Приложение 3 правил

  6. #5
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36

    Вирус в winlogon.exe!

    Хочу поблагодарить тех кто мне помог. Сегодня писал про вирус, тему видимо удалили. Вроде все в норме. Трафик не идет. Новое неизвестное устройство не вылазит.На всякий случай в твикере заблокировал установку принторов и почистил драйвера AVZ. Логи и карантин выслал.
    Еще раз, СПАСИБО!
    Вложения Вложения
    Последний раз редактировалось anton_dr; 08.05.2008 в 09:07.

  7. #6
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36
    Эх! Рано я обрадовался. Вышел на Google, пишет:
    но ваш запрос похож на запросы, автоматически рассылаемые компьютерным вирусом.
    Стал чистить cookies, полезло сообшение рекламного характера о необходимости проверить комп на всяко разно.Лезет на сайт. Восстановились левые dll процессы под rundll32.ехе.
    Что-то пропустил. Запускаю AVZ. Делаю логи заново.

  8. #7
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    Отключите восстановление системы, там все законсервированные враги.

    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DelBHO('{C3F37ECA-A8D9-4633-92C6-FE24C7D16ABA}');
     DelBHO('{03A12934-29DE-4D9E-B7FA-745A47E713CE}');
     DeleteFile('C:\WINDOWS\system32\nnnkLcCT.dll');
     DeleteFile('vtUoLEVO.dll');
     DeleteFile('C:\WINDOWS\system32\vtUoLEVO.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP92\A0018619.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP92\A0018621.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018966.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018967.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018979.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018971.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018970.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018969.dll');
     DeleteFile('C:\System Volume Information\_restore{D637267E-C56B-4E43-9E55-01A181C63BD2}\RP97\A0018968.dll');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    virusinfo_cure.zip - это карантин и он загружается по ссылке вверху страницы.

    Повторите логи.

  9. #8
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36

    Арррр!

    После долгих попыток, хоть как то самостоятельно победить vtUoLEVO.dll я сдался.
    Отключил восстановление системы.
    При интернет подключении выдает (не сразу ) рекламу Sanitardiska.После сразу вешает в систему и автозагрузку два dll процесса Keyloggers, и все начинается по новой.
    Оперативно опытным путем выяснил что при удалении непосредственно самого vtUoLEVO.dll в папке system32 Unlocker сначало выдает блокировку на все запущенные exe процессы в диспечере задач. После снятия блокировки, показывает на два - под System и winlogon.exe. Видимо дрянь сидить под winlogon.exe и при любых танцах с бубнами востанавливается снова.
    Логи прилагаются.
    Вложения Вложения

  10. #9
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    Попробуйте установить СП3. При этом важные системные файлы, включая winlogon, будут заменены новыми оригинальными.

  11. #10
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36
    Sp3 не помог.

    vtUoLEVO.dll spzb.sys nnnkLcCT.dll

    Продолжают упорно сидеть в системе. Если специалисты не помогут, в конце дня буду сносить ось.



  12. #11
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1786
    AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFile('C:\WINDOWS\system32\nnnkLcCT.dll');
    DeleteFile('vtUoLEVO.dll');
    DeleteFile('C:\WINDOWS\system32\vtUoLEVO.dll');
    DelBHO('{5CA129AE-7F55-4BB2-81FF-3AF1398ED708}');    
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Повторите логи.

  13. #12
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36
    причем после выполнения скрипта в AVZ, Symantec тут же фиксирует трояна блочит его но видимо без результатно.

  14. #13
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1786
    Отключите антивирус и выполните скрипт

  15. #14
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36
    Скрипт выполнил.
    Логи выложил.
    Вложения Вложения

  16. #15
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1786
    Пофиксить

    Код:
    O2 - BHO: (no name) - {27B4FEAD-A250-42D6-97CD-76191C3B7949} - C:\WINDOWS\system32\nnnkLcCT.dll (file missing)
    O20 - Winlogon Notify: vtUoLEVO - C:\WINDOWS\
    В логах чисто,жалобы есть?

  17. #16
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36
    AVZ жалуется на Rootkit
    C:\WINDOWS\system32\Drivers\SYMEVENT.SYS
    spsp.sys

  18. #17
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1786
    SYMEVENT.SYS- от Симантек,spsp.sys-от эмулятора дисков

  19. #18
    Junior Member Репутация
    Регистрация
    07.05.2008
    Сообщений
    11
    Вес репутации
    36
    Григорий, ВЫ волшебник!
    Большое вам человеческое спасибо!

  20. #19
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1786
    Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

    Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

  • Уважаемый(ая) 7tas, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. вирус winlogon.exe и csrss.exe
      От dmitriy92 в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 01.11.2011, 03:53
    2. Вирус в winlogon.exe?
      От kingofdreams в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 19.04.2011, 08:53
    3. Вирус winlogon.exe
      От Bear-hit в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 10.11.2010, 23:49
    4. Вирус маскируется под Winlogon.exe
      От Rubec в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 29.09.2009, 10:14
    5. Ответов: 21
      Последнее сообщение: 06.02.2009, 16:02

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00940 seconds with 17 queries