BackDoor.Bulknet и Ко - часть 2.

**wintruder** · 26.05.2008, 12:09

думаю что зараза таже что была и в 1-й части... Dr.Web CureiT не запускается... остальные антивири просто ничего не видят.. вот только еще и восстановление системы не отключается...
высылаю логи.... кстати сделаны в СейфМоде... обычный режим оч трудно работать - сильно все тормозит...
Заранее спасибо...

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**kps** · 26.05.2008, 13:16

У Вас куча гадости.
Отключите восстановление системы, как написано в правилах!
Потом в обычном режиме скачайте IceSword.
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\system32\Drivers\Lmw57.sys и если есть - сначала скопируйте его куда хотите при помощи Copy to..., чтобы прислать нам, а потом удалите с помощью force delete (нажмите по нему правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

Затем выполните скрипт в AVZ:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\F0F2D1F5.exe','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\B07DC180.exe','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\Temp\gold.exe','');
 QuarantineFile('C:\WINDOWS\Temp\BN2.tmp','');
 QuarantineFile('C:\WINDOWS\Temp\BN1.tmp','');
 QuarantineFile('C:\WINDOWS\system32\WinData.cab','');
 QuarantineFile('C:\Documents and Settings\user\cftmon.exe','');
 QuarantineFile('C:\Documents and Settings\user\Application Data\win.exe','');
 QuarantineFile('C:\WINDOWS\boqnrwdmkod.dll','');
 QuarantineFile('WinNt32.dll','');
 QuarantineFile('C:\WINDOWS\vregfwlx.dll','');
 QuarantineFile('C:\WINDOWS\vltdfabw.dll','');
 QuarantineFile('C:\WINDOWS\system32\сsrss.exe','');
 QuarantineFile('C:\WINDOWS\system32\winsos.exe','');
 QuarantineFile('C:\WINDOWS\system32\winsn.exe','');
 QuarantineFile('C:\WINDOWS\system32\wind32.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\system32\maxpaynow1.exe','');
 QuarantineFile('C:\WINDOWS\system32\djki397g.dll','');
 QuarantineFile('C:\WINDOWS\mrofinu27.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\winlagon.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\\stopinject.dll','');
 QuarantineFile('C:\Documents and Settings\Администратор\cftmon.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 QuarantineFile('C:\WINDOWS\system32\sywtdxaz.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\npf.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\asc3550p.sys','');
 QuarantineFile('C:\Documents and Settings\user\Application Data\ie_updates3r.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Lmw57.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
 QuarantineFile('c:\windows\system32\drivers\spools.exe','');
 DeleteFile('c:\windows\system32\drivers\spools.exe');
 DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Lmw57.sys');
 DeleteFile('C:\Documents and Settings\user\Application Data\ie_updates3r.exe');
 DeleteFile('C:\WINDOWS\system32\Drivers\asc3550p.sys');
 DeleteFile('C:\WINDOWS\system32\sywtdxaz.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\Documents and Settings\Администратор\cftmon.exe');
 DeleteFile('C:\WINDOWS\TEMP\\stopinject.dll');
 DeleteFile('C:\WINDOWS\TEMP\winlagon.exe');
 DeleteFile('C:\WINDOWS\mrofinu27.exe');
 DeleteFile('C:\WINDOWS\system32\djki397g.dll');
 DeleteFile('C:\WINDOWS\system32\maxpaynow1.exe');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\wind32.exe');
 DeleteFile('C:\WINDOWS\system32\winsn.exe');
 DeleteFile('C:\WINDOWS\system32\winsos.exe');
 DeleteFile('C:\WINDOWS\system32\сsrss.exe');
 DeleteFile('C:\WINDOWS\vltdfabw.dll');
 DeleteFile('C:\WINDOWS\vregfwlx.dll');
 DeleteFile('WinNt32.dll');
 DeleteFile('C:\WINDOWS\boqnrwdmkod.dll');
 DeleteFile('C:\Documents and Settings\user\Application Data\win.exe');
 DeleteFile('C:\Documents and Settings\user\cftmon.exe');
 DeleteFile('C:\WINDOWS\system32\WinData.cab');
 DeleteFile('C:\WINDOWS\Temp\BN1.tmp');
 DeleteFile('C:\WINDOWS\Temp\BN2.tmp');
 DeleteFile('C:\WINDOWS\Temp\gold.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\B07DC180.exe');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\F0F2D1F5.exe');
 DelBHO('{B5AF0562-94F3-42BD-F434-2604812C797D}');
 DelBHO('{676d8a98-4969-4f8e-9935-e67ab97ca7d8}');
 DelWinlogonNotifyByKeyName('WinNt32');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('asc3550p');
BC_DeleteSvc('sywtdxaz');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Lmw57');
BC_DeleteSvc('Schedule');
BC_DeleteSvc('Google Online Services');
BC_Activate;
ExecuteRepair(1);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил и скопированный Вами файл в архиве с паролем virus (загружать здесь: http://virusinfo.info/upload_virus.php?tid=23429 ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Сделайте новые логи в обычном режиме.

**wintruder** · 26.05.2008, 13:51

огромное спасибо за помощь...
карантин высылаю...
повторные голи высылаю...
оч. интересует какая именно зараза была, если не составляет труда... начальство интересуется...
еще раз спасибо...

**kps** · 26.05.2008, 14:16

Зараза такая (по классификации Лаборатории Касперского):
lmw57sys - Trojan-Dropper.Win32.Agent.rek
C:\WINDOWS\Temp\gold.exe - Trojan-Downloader.Win32.BHO.cy
C:\WINDOWS\Temp\BN2.tmp, C:\WINDOWS\Temp\BN1.tmp - Trojan.Win32.Pakes.cwv
C:\WINDOWS\system32\WinData.cab - Trojan-Downloader.Win32.Agent.ohi
C:\Documents and Settings\user\cftmon.exe - Trojan-Downloader.Win32.BHO.cy
C:\WINDOWS\system32\WinNt32.dll - Trojan-Downloader.Win32.Mutant.yq
C:\WINDOWS\system32\wind32.exe - Trojan-Downloader.Win32.Tibs.aag
C:\WINDOWS\system32\ntos.exe - Trojan-Spy.Win32.Zbot.bxg
C:\WINDOWS\system32\maxpaynow1.exe - Trojan-Downloader.Win32.Tibs.aap
C:\WINDOWS\TEMP\winlagon.exe - Trojan-Downloader.Win32.Small.uxv
C:\WINDOWS\TEMP\\stopinject.dll - Trojan.Win32.Inject.cfr
C:\Documents and Settings\Администратор\cftmon.exe, c:\windows\system32\drivers\spools.exe -Trojan-Downloader.Win32.BHO.cy
и еще некоторые свежие.

Выполните скрипт в AVZ:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('F:\47E6A829.exe','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\csrssc.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
 DeleteFile('c:\docume~1\user\locals~1\temp\csrssc.exe');
 DeleteFile('F:\47E6A829.exe');
 DeleteFile('F:\autorun.inf');
 DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин.

Очистите временные папки и кеш браузера.
Сделайте новые логи.
Лучше смените все Ваши пароли.

**wintruder** · 26.05.2008, 14:41

карантин выслал...
логи выслал...
ОГРОМНОЕ СПАСИБО за помощь...

**kps** · 26.05.2008, 14:55

Вот это Вам известно - G:\StartPortableApps.exe ?

**wintruder** · 26.05.2008, 14:59

да... прога для загрузки меню с флешки...
убрать????

**kps** · 26.05.2008, 15:02

Как хотите. Если бы он был неизвестнен Вам - тогда другое дело.
В логах чисто. Рекомендую после такого "зоопарка" на компьютере выполнить пункт 2 правил.

Какие-то проблемы остались ?

**wintruder** · 26.05.2008, 15:10

пункт 2 - проверить систему Dr.Web CureiT???
уже сделал...
проблем вроде нету...
еще раз огромное спасибо...

**kps** · 26.05.2008, 15:12

Да, пункт 2 - это CureIt!
Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

**CyberHelper** · 22.02.2009, 05:31

Статистика проведенного лечения:

Получено карантинов: 3
Обработано файлов: 30
В ходе лечения обнаружены вредоносные программы:
1. c:\\b07dc180.exe - Worm.Win32.AutoRun.dwq (DrWEB: Trojan.DownLoader.60974)
2. c:\\documents and settings\\localservice\\cftmon.exe - Trojan-Downloader.Win32.BHO.cy (DrWEB: Trojan.DownLoader.62037)
3. c:\\documents and settings\\user\\application data\\ie_updates3r.exe - Trojan-Downloader.Win32.Winlagons.ks (DrWEB: Trojan.DownLoader.based)
4. c:\\documents and settings\\user\\cftmon.exe - Trojan-Downloader.Win32.BHO.cy (DrWEB: Trojan.DownLoader.62037)
5. c:\\documents and settings\\администратор\\cftmon.exe - Trojan-Downloader.Win32.BHO.cy (DrWEB: Trojan.DownLoader.62037)
6. c:\\windows\\boqnrwdmkod.dll - Trojan.Win32.Vapsup.fsl (DrWEB: Adware.Supa.69)
7. c:\\windows\\mrofinu27.exe - Trojan-Downloader.Win32.Homles.bq (DrWEB: Trojan.DownLoader.62385)
8. c:\\windows\\system32\\drivers\\spools.exe - Trojan-Downloader.Win32.BHO.cy (DrWEB: Trojan.DownLoader.62037)
9. c:\\windows\\system32\\maxpaynow1.exe - Trojan-Downloader.Win32.Tibs.aap (DrWEB: Trojan.Packed.512)
10. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.bxg (DrWEB: Trojan.Packed.511)
11. c:\\windows\\system32\\windata.cab - Trojan-Downloader.Win32.Agent.ohi (DrWEB: Trojan.DownLoader.60044)
12. c:\\windows\\system32\\wind32.exe - Trojan-Downloader.Win32.Tibs.aag (DrWEB: Trojan.Packed.465)
13. c:\\windows\\system32\\winnt32.dll - Trojan-Downloader.Win32.Mutant.yq (DrWEB: BackDoor.Bulknet.203)
14. c:\\windows\\system32\\winsn.exe - Worm.Win32.AutoRun.dwq (DrWEB: Trojan.DownLoader.60974)
15. c:\\windows\\system32\\winsos.exe - Worm.Win32.AutoRun.dwq (DrWEB: Trojan.DownLoader.60974)
16. c:\\windows\\temp\\bn1.tmp - Trojan.Win32.Pakes.cwv (DrWEB: BackDoor.Bulknet.194)
17. c:\\windows\\temp\\bn2.tmp - Trojan.Win32.Pakes.cwv (DrWEB: BackDoor.Bulknet.194)
18. c:\\windows\\temp\\gold.exe - Trojan-Downloader.Win32.BHO.cy (DrWEB: Trojan.DownLoader.62037)
19. c:\\windows\\temp\\\\stopinject.dll - Trojan.Win32.Inject.cfr (DrWEB: Trojan.Proxy.3280)
20. c:\\windows\\temp\\stopinject.dll - Trojan.Win32.Inject.cfr (DrWEB: Trojan.Proxy.3280)
21. c:\\windows\\temp\\winlagon.exe - Trojan-Downloader.Win32.Small.uxv (DrWEB: Trojan.DownLoader.60041)
22. c:\\windows\\vregfwlx.dll - Trojan.Win32.Vapsup.fsm (DrWEB: Adware.Supa.70)
23. d:\\f0f2d1f5.exe - Worm.Win32.AutoRun.dwq (DrWEB: Trojan.DownLoader.60974)
24. f:\\47e6a829.exe - Worm.Win32.AutoRun.dwq (DrWEB: Trojan.DownLoader.60974)
25. \\lmw57sys - Trojan-Downloader.Win32.Mutant.aim (DrWEB: BackDoor.Bulknet.18

BackDoor.Bulknet и Ко - часть 2. (заявка № 23429)

Опции темы

BackDoor.Bulknet и Ко - часть 2.

Итог лечения

Похожие темы

BackDoor.Bulknet.320

BackDoor.Bulknet и Ко - часть 3

Лечить BackDoor.Bulknet.216

BackDoor.Bulknet и Ко - часть 4 (Final)

BackDoor.Bulknet.157

Ваши права в разделе