Показано с 1 по 10 из 10.

Trojan:Win32/Vundo (заявка № 25543)

  1. #1
    Junior Member Репутация
    Регистрация
    29.06.2008
    Сообщений
    8
    Вес репутации
    35

    Thumbs up Trojan:Win32/Vundo

    Короче, обнаруживаю у себя в диспетчере задач подозрительный и чрезвычайно активный процесс:
    rundll32.exe
    Вначале мне неохота было разбираться и я просто завершил его. Посидел полчасика в инете и у меня исчезла панель задач и рабочий стол. Я перезагрузил комп и вновь увидел этот процесс, но уже вместе с "напарником близнецом":
    rundll32.exe
    rundll32.exe
    Затем убрал все галочки из автозагрузки и пошёл "по горячим следам" в реестр.
    Нашёл параметр: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvid er\Path Со значением: D:\WINDOWS\system32\crtemvpd.dll
    И следующие разделы с данными:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\349d30fb4
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BM93463b64
    Ничего не стал с ними делать - для начала решил просканировать весь диск D, особенно D:\WINDOWS\system32
    Пытался убрать различными антивирусами, но они или вообще не находили вирусов или же находили, удаляли и он появлялся вновь.
    Троян вроде бы называется Trojan:Win32/Vundo.gen!N (Trojan.Virtumod.based.16)
    Вот отчёт с virustotal.com
    Решил попробовать удалить вручную. Для начала удалил всю фигню, которая подселилась в реестр. Затем удалил одноимённых подселенцев из D:\WINDOWS\system32 (правда для этого пришлось заходить из другой ОС, т.к. писалось, что файлы используются и потому не подлежат удалению). Перезагрузил комп... и что я вижу? Проклятый вирь сгенерировал всё снова, но изменил их наименования (и в автозагрузке, и в регистре, и в D:\WINDOWS\system32):
    gmatyqcd
    xtduqcjm
    Тогда я просто стал менять значения строковых параметров и их наименования... а вирь создавал новые параметры при изменении наименований и изменял значения при изменении значений параметров).
    Короче просто вместо:
    gmatyqcd
    xtduqcjm
    Я получал:
    nbamsxma
    crtemvpd
    или другую подобную абракадабру...
    Зашёл и удалил всякую фигню из HKEY_CURRENT_USER\Software\Microsoft\Windows\Shell NoRoam\MUICache
    Просканировал AVZ - он находит и удаляет, но затем всё происходит сначала. Заметил схожесть своего вируса с вирусом в теме. Выполнил скрипт, кое-что удалилось, но вирус определяется опять.
    Вложения Вложения
    Последний раз редактировалось pig; 30.06.2008 в 01:56. Причина: убрал карантин

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Уберите ссылку из сообщения и файл virus.zip тоже.
    snommrff.dll - AdWare.Win32.Virtumonde.zij, Trojan.Virtumod.based.16

    файл virus2.zip загрузите по ссылке Прислать запрошенный карантин

    Логи надо делать по Правилам: http://virusinfo.info/showthread.php?t=1235
    И отключить службу восстановления системы не забудьте.
    Последний раз редактировалось AndreyKa; 29.06.2008 в 22:56.

  4. #3
    Junior Member Репутация
    Регистрация
    29.06.2008
    Сообщений
    8
    Вес репутации
    35
    Убрал. Файл загрузил:

    Файл сохранён как 080629_151237_virus2_4867ecb5c1364.zip
    Размер файла 487298
    MD5 027a80868a2b20e87c79c3ab85cba5b3

    Сделал ещё один лог, вроде по правилам. Службу отключил.
    Вложения Вложения

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Закройте все программы.
    Запустите AVZ.
    Выполните скрипт через меню Файл:
    Код:
    begin
    SetAVZGuardStatus(True);
     QuarantineFile('c:\DriverLoad\windrv0.exe','');
     QuarantineFile('D:\WINDOWS\system32\imlog.sys','');
     QuarantineFile('D:\WINDOWS\SYSTEM32\msdirect.sys','');
     SetServiceStart('dnlsvc', 4);
     DeleteService('dnlsvc');
     QuarantineFile('D:\WINDOWS\system32\awtrOiHy.dll','');
     QuarantineFile('D:\WINDOWS\system32\khfDvtsR.dll','');
     DeleteFile('D:\WINDOWS\system32\khfDvtsR.dll');
     DeleteFile('D:\WINDOWS\system32\awtrOiHy.dll');
     DeleteFile('D:\WINDOWS\system32\nkegwygg.dll');
     DeleteFile('c:\DriverLoad\windrv0.exe');
     DeleteFile('khfDvtsR.dll');
     BC_ImportAll;
     ExecuteSysClean;
     BC_Activate;
     RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя ссылку "Прислать запрошенный карантин".
    Сделайте логи начиная с 10-го пункта Правил и приложите их к своей теме.

  6. #5
    Junior Member Репутация
    Регистрация
    29.06.2008
    Сообщений
    8
    Вес репутации
    35
    Скрипт выполнил. После каждого действия перезагружал компьютер. Просканил несколько раз, но на этот раз в диске D ничего найдено не было. На всякий случай просканил диск C и антивирус нашёл мне BitAccelerator + загруженные, но не запущенные мною вирусы.
    Файлы из карантина отослал:

    Файл сохранён как 080629_192943_virus_486828f73aaf8.zip
    Размер файла 6557132
    MD5 4f9d980ff519b328e1fe28c5ae90ef21

    P.S. Большое спасибо за помощь
    Вложения Вложения

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Пофиксте в HijackThis следующие строки:
    R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
    O2 - BHO: (no name) - {06E12C36-760F-4D92-8509-5E5DBF12C423} - D:\WINDOWS\system32\khfDvtsR.dll (file missing)
    O2 - BHO: (no name) - {4314FDB5-F2C3-4A09-AE3D-1081DC71B083} - (no file)
    O2 - BHO: (no name) - {DD63EE74-865A-4109-84D4-93C6896EFD03} - D:\WINDOWS\system32\awtrOiHy.dll (file missing)
    O2 - BHO: (no name) - {E9C86534-CE0B-419A-A408-85BB84CA5ED5} - (no file)
    O2 - BHO: (no name) - {EBEED44D-F761-4842-AC77-110BA1F03046} - (no file)
    O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)
    O4 - HKUS\S-1-5-18\..\Run: [SystemDriverLoad] (User 'SYSTEM')
    O4 - HKUS\S-1-5-18\..\Run: [SystemDriver] (User 'SYSTEM')
    O4 - HKUS\S-1-5-18\..\Run: [FDriver] (User 'SYSTEM')
    O4 - HKUS\S-1-5-18\..\Run: [ADriver] (User 'SYSTEM')
    O4 - HKUS\S-1-5-18\..\Run: [CDriver] (User 'SYSTEM')
    O4 - HKUS\S-1-5-18\..\Run: [DDriver] (User 'SYSTEM')
    O15 - Trusted Zone: *.p0rt2.com
    O20 - Winlogon Notify: khfDvtsR - D:\WINDOWS\
    O20 - Winlogon Notify: khfDvtsR- - D:\WINDOWS\
    Сделайте новый лог HijackThis.

  8. #7
    Junior Member Репутация
    Регистрация
    29.06.2008
    Сообщений
    8
    Вес репутации
    35
    Всё сделано.
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,625
    Вес репутации
    1291
    Проблем больше нет?

  10. #9
    Junior Member Репутация
    Регистрация
    29.06.2008
    Сообщений
    8
    Вес репутации
    35
    Да - спасибо большое

  11. #10
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 40
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\downloads\\архивы\\getad.zip - Exploit.Win32.Getad (DrWEB: archive: Exploit.Getad)
      2. c:\\downloads\\архивы\\goolagscanner_1.0.0.41.rar - HackTool.Win32.Scanner.j
      3. c:\\downloads\\архивы\\viruses_3732_for_anti-virus_testing.rar - Virus.DOS.IVP-based (DrWEB: archive: archive: Trivial.44)
      4. c:\\program files\\bitaccelerator\\bitaccelerator.dll - not-a-virus:WebToolbar.Win32.BitAccelerator.c (DrWEB: Trojan.BitAcc)
      5. c:\\program files\\connectionservices\\connectionservices.dll - Trojan.Win32.ConnectionServices.j (DrWEB: Trojan.BitAcc)
      6. c:\\program files\\connectionservices\\connectionservices.dll. bak - Trojan.Win32.ConnectionServices.j (DrWEB: Trojan.BitAcc)
      7. d:\\system volume information\\_restore{b012564e-fbb7-4afc-9ef4-0bc947cf984d}\\rp236\\a0133299.dll - Trojan.Win32.Monder.zq (DrWEB: Trojan.Virtumod.based.21)
      8. d:\\system volume information\\_restore{b012564e-fbb7-4afc-9ef4-0bc947cf984d}\\rp236\\a0133300.dll - not-a-virus:AdWare.Win32.Virtumonde.yyr (DrWEB: Trojan.Virtumod.based.16)
      9. d:\\system volume information\\_restore{b012564e-fbb7-4afc-9ef4-0bc947cf984d}\\rp236\\a0133301.dll - not-a-virus:AdWare.Win32.Virtumonde.zde (DrWEB: Trojan.Virtumod.based.21)
      10. d:\\system volume information\\_restore{b012564e-fbb7-4afc-9ef4-0bc947cf984d}\\rp236\\a0133302.dll - Trojan.Win32.Monder.aen (DrWEB: Trojan.Virtumod.based.21)
      11. d:\\system volume information\\_restore{b012564e-fbb7-4afc-9ef4-0bc947cf984d}\\rp236\\a0133303.dll - Trojan.Win32.Monder.aen (DrWEB: Trojan.Virtumod.based.21)
      12. d:\\windows\\system32\\ruefvmmx.dll - Trojan.Win32.Monder.wj (DrWEB: Trojan.Virtumod.based.21)


  • Уважаемый(ая) Reuser, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Trojan:Win32/Vundo.QA
      От Александр Пискачев в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 26.07.2012, 12:13
    2. Trojan:Win32/Vundo.QA
      От plaxim в разделе Помогите!
      Ответов: 14
      Последнее сообщение: 25.07.2012, 10:12
    3. Trojan:Win32/Vundo.QA
      От Марина Огородная в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 20.06.2012, 20:32
    4. Ответов: 9
      Последнее сообщение: 10.06.2012, 13:59
    5. Trojan:Win32/Vundo.gen!L
      От glupayakotyara в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 06.08.2008, 17:57

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01096 seconds with 17 queries