Показано с 1 по 15 из 15.

Вирус hldrrr.exe (заявка № 23102)

  1. #1
    Junior Member Репутация
    Регистрация
    20.05.2008
    Сообщений
    8
    Вес репутации
    35

    Question Вирус hldrrr.exe

    Здравствуйте.

    Столкнулся с уже известной многим проблемой - вирусом, которых жрёт память, отрубает антивири и не даёт запускаться AVZ. Пользуясь рекомендациями этого форума, выполнил всё указанное в них, но остался рад вопросов:

    1. Вирус попортил отображение папок и проводника, например, я не могу просматривать скрытые и системные папки и файлы - команды "Сервис - Свойство папки - Вид - Показывать скрытые файлы и папки" просто нет. Пробовал восстановить проводник через AVZ - не катит.

    2. Как мне удостовериться, что вирус умер и больше не восстанет из зада? Файлы в папке drivers удалил, загрузившись под Линукс, папку down тоже, реестр почистил по ключевым именам файлов.

    3. Как могло случиться, что вирус ко мне попал и какой антивирус стоек перед подобными нападками? Avira, как оказалось, не самая сильная.

    Всю ночь долбался, щас иду спать, поэтому сорри - отвечу завтра.
    Ещё проверю завтра хорошенько всё утилитой от Dr Web и AVZ. Кстати, посоветуйте, как с помощью AVZ выполнить проверку, чтобы быть до конца спокойным?
    Антивирь буду ставить тоже завтра.

    Спасибо за то, что вы есть

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для zerocorporated
    Регистрация
    23.09.2007
    Сообщений
    967
    Вес репутации
    840
    Если вы в этом разделе пишете то где логи?


    3. Как могло случиться, что вирус ко мне попал и какой антивирус стоек перед подобными нападками? Avira, как оказалось, не самая сильная.
    Весомый аргумент чтоб настроить правильно систему.
    Отключите автозапуск.
    Используйте ограниченную учетную запись.
    Безопасный Интернет. Универсальная защита для Windows ME - Vista

  4. #3
    Junior Member Репутация
    Регистрация
    20.05.2008
    Сообщений
    8
    Вес репутации
    35
    Вот и логи

    [moderated: правила]
    Последний раз редактировалось Shu_b; 20.05.2008 в 08:37.

  5. #4
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1785
    Нам нужны логи а не остатки карантина

  6. #5
    Junior Member Репутация
    Регистрация
    20.05.2008
    Сообщений
    8
    Вес репутации
    35
    Извиняюсь, не вдуплил ситуэйшн. Теперь прилагаю то, что требуется
    Вложения Вложения

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.09.2004
    Сообщений
    3,510
    Вес репутации
    1280
    CureIt!'ом делали полную проверку?
    Прогоните такой скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('%System32%\drivers\srosa.sys','');
     QuarantineFile('%System32%\drivers\hldrrr.exe','');
     QuarantineFile('%System32%\wintems.exe','');
     QuarantineFile('%System32%\drivers\mdelk.exe','');
     QuarantineFile('%System32%\mdelk.exe','');
     QuarantineFile('C:\Program Files\Wireless and wired keyboard\StartAutorun.exe','');
     QuarantineFile('C:\Program Files\VisualTaskTips\VisualTaskTips.exe','');
     QuarantineFile('C:\Program Files\VistaDriveIcon\DrvIcon.exe','');
     QuarantineFile('C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe','');
     QuarantineFile('C:\Program Files\Common Files\Acronis\Schedule2\schedhlp.exe','');
     QuarantineFile('C:\Program Files\Ad Muncher\AdMunch.exe','');
     QuarantineFile('C:\Program Files\Acronis\TrueImageServer\TrueImageMonitor.exe','');
     QuarantineFile('C:\Program Files\Acronis\TrueImageServer\TimounterMonitor.exe','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\KMWDFilter.SYS','');
     QuarantineFile('C:\Documents and Settings\User\Local Settings\TEMP\DrvFltIp','');
     QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\ASFWHide','');
     QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
     QuarantineFile('c:\windows\system32\winlogon.exe','');
     QuarantineFile('c:\windows\explorer.exe','');
     QuarantineFile('c:\windows\system32\ctfmon.exe','');
     DeleteFile('%System32%\drivers\hldrrr.exe');
     DeleteFile('%System32%\drivers\srosa.sys');
     DeleteFile('%System32%\wintems.exe');
     DeleteFile('%System32%\drivers\mdelk.exe');
     DeleteFile('%System32%\mdelk.exe');
    BC_ImportALL;
    ExecuteSysClean;
    If DirectoryExists('%System32%\drivers\down') then
    begin
    DeleteFileMask('%System32%\drivers\down', '*.*', true);
    DeleteDirectory('%System32%\drivers\down');
    If DirectoryExists('%System32%\drivers\down') then
    AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
    end
     else
    AddToLog('Папки down нет');
    If DirectoryExists('%System32%\drivers\downld') then
    begin
    DeleteFileMask('%System32%\drivers\downld', '*.*', true);
    DeleteDirectory('%System32%\drivers\downld');
    If DirectoryExists('%System32%\drivers\downld') then
    AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
    end
     else
    AddToLog('Папки downld нет');
    If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
    begin
    AddToLog('Обнаружен параметр в реестре drvsyskit');
    RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
    If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
    AddToLog('Ошибка удаления параметра drvsyskit') else
    AddToLog('Параметр drvsyskit успешно удален');
    end; 
    If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
    begin
    AddToLog('Обнаружен параметр в реестре german.exe');
    RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
    If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
    AddToLog('Ошибка удаления параметра german.exe') else
    AddToLog('Параметр german.exe успешно удален');
    end; 
    if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
    begin
    AddToLog('Найден ключ реестра FirstRRRun');
    RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
    If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
    AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
    AddToLog('ключ реестра FirstRRRun успешно удален');
    end;
    BC_DeleteSvc('srosa');
    BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
    If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!'); 
    SaveLog(GetAVZDirectory + 'B_d.txt');
    ExecuteRepair(6);
    ExecuteRepair(8);
    RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=23102 ).

    Прикрепите логи: B_d.txt и boot_clr_B_d.log из папки AVZ.
    Как проблемы со скрытыми файлами ?
    Месть - мечта слабых, прощение - удел сильных.
    Поддержать проект можно здесь

  8. #7
    Junior Member Репутация
    Регистрация
    20.05.2008
    Сообщений
    8
    Вес репутации
    35
    Карантин загрузил:



    CureIt!'ом выполнил сначала экспресс-проверку, а потом полную, нашёл и удалил 1 вирус в корзине и ещё нашёл патч для TCP/IP, но он неопасный, я с ним работал.

    Упомянутый скрипт выполнил, компьютер перезагрузился. Логи прилагаю.

    Со скрытыми файлами уже всё ок - импортировал ветку реестра Explorer с чистой машины, теперь пункт "Свойство папки" отображается корректно
    Вложения Вложения

  9. #8
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    Логи повторите, посмотрим что там с системой.

  10. #9
    Junior Member Репутация
    Регистрация
    20.05.2008
    Сообщений
    8
    Вес репутации
    35
    Цитата Сообщение от wise-wistful Посмотреть сообщение
    Логи повторите, посмотрим что там с системой.
    Самые первые логи повторить (п. 7-13 правил)?

  11. #10
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1785
    Да

  12. #11
    Junior Member Репутация
    Регистрация
    20.05.2008
    Сообщений
    8
    Вес репутации
    35
    Логи:
    Вложения Вложения

  13. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    10.01.2007
    Сообщений
    22,817
    Вес репутации
    1500
    выполните скрипт ...
    Код:
    begin
      ClearQuarantine;
     QuarantineFile('C:\WINDOWS\System32\Drivers\KMWDFilter.SYS','');
     QuarantineFile('C:\Documents and Settings\User\Local Settings\TEMP\DrvFltIp','');
     QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\ASFWHide','');
     BC_ImportQuarantineList;
     BC_Activate;
     RebootWindows(true);
    end.
    пришлите карантин согласно приложения 3 правил ...

  14. #13
    Junior Member Репутация
    Регистрация
    20.05.2008
    Сообщений
    8
    Вес репутации
    35
    Цитата Сообщение от V_Bond Посмотреть сообщение
    выполните скрипт ...

    пришлите карантин согласно приложения 3 правил ...
    Отправил карантин

  15. #14
    Junior Member Репутация
    Регистрация
    20.05.2008
    Сообщений
    8
    Вес репутации
    35
    Поставил Каспера, просканил в бозопасном режиме, нашёл вирус в архиве. Теперь понятно, откуда взялся вирус - из кейгена, удалил. Похоже система теперь в порядке. Всем спасибо за участие. Также прислушаюсь к советам из мануалов во втором посте

  16. #15
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 114
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\drivers\\mdelk.exe - Trojan-Downloader.Win32.Bagle.pv (DrWEB: Trojan.DownLoader.62017)


  • Уважаемый(ая) Sam33, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Вирус с модулем hldrrr.exe
      От Alex392 в разделе Помогите!
      Ответов: 16
      Последнее сообщение: 22.02.2009, 04:13
    2. Installator с hldrrr / srosa
      От psw в разделе Сетевые атаки
      Ответов: 11
      Последнее сообщение: 27.02.2008, 16:41
    3. Вирус с модулем hldrrr.exe
      От Featus в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 20.02.2008, 22:40
    4. Ответов: 3
      Последнее сообщение: 17.01.2008, 21:32

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00200 seconds with 17 queries