Показано с 1 по 19 из 19.

И снова Trojan.Rntm.10 (заявка № 27105)

  1. #1
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35

    Thumbs up И снова Trojan.Rntm.10

    Симптомы: загружается из интернета, как только устанавливается подключение.В папке tmp создается файл bn1.tmp или bn2.tmp или bn3.tmp.
    В то же мгновение он появляется в Списке процессов Диспетчера задач. И буквально сразу же исчезает и со списка задач и из tmp.

    В это же время создается файл в c:\windows\system32\drivers\
    с абсолютно произвольными именами с расширением sys. Например winah53.sys или Winuc75.sys. После этого начинается рассылка спама с моего компа.

    Одновременно с этим взвывает Др.Веб и благополучно удаляет файл.
    Но рассылка спама продолжается.
    После перегрузки системы и отключения от сети - ДрВеб ничего не находит.
    И как только подсоединяю кабель снова начинается сначала - загрузка вирусняка из инета и т.д.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    2 Антивируса -это 1 лишний: удалите любой, так , чтобы только 1 остался.

    Скачайте IceSword , поищите и удалите через опцию force delete файлы:
    Код:
    C:\WINDOWS\system32\WinCtrl32.dll
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное востановление.
    -Пофиксите
    Код:
    O4 - HKLM\..\Run: [runservices] C:\WINDOWS\services.exe
    O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
     DelBHO('{4C579E8B-92F1-44d1-9444-66A4355E9386}');
     DeleteService('Winel42');
     DeleteService('Wingp76');
     DeleteService('Winir11');
     DeleteService('Winjs54');
     DeleteService('Winsc08');
     DeleteService('Wintb75');
     DeleteService('Wintc88');
     DeleteService('Winuc10');
     DeleteService('Winyf86');
     DeleteService('Winyi32');
     DeleteService('Vel86');
     DeleteService('IPFilter');
     QuarantineFile('c:\tmp\Rar$EX30.063\IPFilter_x86.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Vel86.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winyi32.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winyf86.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winuc10.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Wintc88.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Wintb75.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winsc08.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winqy43.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winls85.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winjs54.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winjs44.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Wingp76.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winel42.sys',''); 
     QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
     QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
     QuarantineFile('C:\WINDOWS\system32\wincqt32.dll','');
     QuarantineFile('C:\WINDOWS\system32\rozmchild.dll','');
     DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
     DeleteFile('C:\WINDOWS\system32\ntos.exe');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winel42.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winft27.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Wingp10.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Wingp76.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winir11.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winjs44.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winls85.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winqy43.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winsc08.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Wintb75.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Wintc88.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winuc10.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winyf86.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winyi32.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Vel86.sys');
     DeleteFile('c:\tmp\Rar$EX30.063\IPFilter_x86.sys');
     DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
     DeleteFile('C:\WINDOWS\system32\wincqt32.dll');
     DeleteFile('C:\WINDOWS\system32\rozmchild.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи по правилам.
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по красной ссылке вверху темы.
    - Прикрепите логи к новому сообщению.

  4. #3
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35
    Какие 2 вируса Вы имеете ввиду? Вроде бы один ДрВеб стоит.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    Цитата Сообщение от Rasssmus Посмотреть сообщение
    Какие 2 вируса Вы имеете ввиду? Вроде бы один ДрВеб стоит.
    Действительно Вы правы: Там просто от Симантека какой-то остаток

  6. #5
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35
    O4 - HKLM\..\Run: [runservices] C:\WINDOWS\services.exe

    Такой сторчки нет

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    Цитата Сообщение от Rasssmus Посмотреть сообщение
    O4 - HKLM\..\Run: [runservices] C:\WINDOWS\services.exe
    Может ее и не стало, но была. Можете убедиться, посмотрев Ваш лог из сообщения Номер 1: http://virusinfo.info/showpost.php?p=259881&postcount=1

  8. #7
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35
    В карантин ничего не попало. Высылаю новые логи.

    А вирус опять цепанулся как только подключился к инету


    У меня еще есть такой файл:'C:\WINDOWS\system32\WinCtrl32.dl_ Он не может вредить?
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    IceSword , поищите и удалите через опцию force delete файлы:
    Код:
    C:\WINDOWS\system32\WLCtrl32.dll
    C:\WINDOWS\system32\wincqt32.dll
    C:\WINDOWS\system32\WinCtrl32.dll
    C:\WINDOWS\system32\WinCtrl32.dl_
    Если чего-то не обнаружите- не страшно, идите к следующему шагу.
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное востановление.
    -Пофиксите
    Код:
    O20 - Winlogon Notify: wincqt32 - wincqt32.dll (file missing)
    O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
    O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)
    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteService('Ipx42');
     DeleteService('Winuc75');
     DeleteService('Winjs54');
     DeleteService('Winah53');
     QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dl_','');
     QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
     QuarantineFile('C:\WINDOWS\system32\wincqt32.dll','');
     QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Ipx42.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winuc75.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winjs54.sys','');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winah53.sys','');
     QuarantineFile('wincqt32.dll','');
     QuarantineFile('WinCtrl32.dll','');
     QuarantineFile('WLCtrl32.dll','');
     DeleteFile('WLCtrl32.dll');
     DeleteFile('WinCtrl32.dll');
     DeleteFile('wincqt32.dll');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winah53.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winjs54.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winuc75.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Ipx42.sys');
     DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
     DeleteFile('C:\WINDOWS\system32\wincqt32.dll');
     DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
     DeleteFile('C:\WINDOWS\system32\WinCtrl32.dl_');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи по правилам.
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по красной ссылке вверху темы.
    - Прикрепите логи к новому сообщению.

    Добавлено через 2 минуты

    Цитата Сообщение от Rasssmus Посмотреть сообщение
    У меня еще есть такой файл:'C:\WINDOWS\system32\WinCtrl32.dl_ Он не может вредить?
    Может (см. список файлов на удаление)
    Последний раз редактировалось Rene-gad; 26.07.2008 в 18:51. Причина: Добавлено

  10. #9
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35
    необходимо ли после каждой операции удаление, фиксинье, скрипт выполнять перезагрузку? Или достаточно после всех итераций один раз перегрузить?

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    Цитата Сообщение от Rasssmus Посмотреть сообщение
    необходимо ли после каждой операции удаление, фиксинье, скрипт выполнять перезагрузку?
    Автоматическая перезагрузка записана в скрипте лечения. После фиксения перегружаться не надо, в противнм случае Вам будет об этом сказано дополнительно.
    При выполнении логов по правилам нужно так же перегружаться только там, где это указано.

  12. #11
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35
    В карантине снова ничего нет. Прверил ДрВебом при подключенном интете - вирусов не обнаружил. И старт винды намного быстрее стал происходить.

    ОГРОМНОЕ СПАСИБО!!!!!!!!!!!!!!!!

    На всякий случай привожу окончательные логи
    Вложения Вложения

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    Прверил ДрВебом при подключенном интете - вирусов не обнаружил.
    И это не значит, что их нет

    IceSword , поищите и удалите через опцию force delete файлы:
    Код:
    C:\WINDOWS\System32\Drivers\Winjq07.sys
    Если чего-то не обнаружите- не страшно, идите к следующему шагу.
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное востановление.
    -Пофиксите
    Код:
    O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteService('Winjq07');
     DeleteService('Google Online Search Service - 2nd');
     QuarantineFile('C:\WINDOWS\System32\Drivers\Winjq07.sys','');
     QuarantineFile('C:\Program Files\WinService Manager\WinService.exe','');
     QuarantineFile('C:\WINDOWS\system32\winlast.exe','');
     DeleteFile('C:\WINDOWS\system32\winlast.exe');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winjq07.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи по правилам.
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по красной ссылке вверху темы.
    - Прикрепите логи к новому сообщению.

  14. #13
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35
    карантин снова пустой. Логи здесь.
    Вложения Вложения

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    Отключите
    - ПК от интернета/локалки
    - Антивирус и Файрвол.
    - Системное востановление.
    - Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True); 
     DeleteService('Eii44');
     QuarantineFile('C:\WINDOWS\system32\DRIVERS\Eii44.sys','');
     DeleteFile('C:\WINDOWS\system32\DRIVERS\Eii44.sys');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки:
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Сделайте повторные логи по правилам.
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по красной ссылке вверху темы.
    - Прикрепите логи к новому сообщению.[/QUOTE]

  16. #15
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35
    Карантин пуст Новые логи здесь:
    Вложения Вложения

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    В логах чисто. Какие проблемы остались?

  18. #17
    Junior Member Репутация
    Регистрация
    26.07.2008
    Сообщений
    31
    Вес репутации
    35
    Спасибо большое! Все ОК

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3001
    Сервис Пак 3 нужно поставить.

  20. #19
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 1
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) Rasssmus, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Trojan.Rntm.10
      От monul в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 22.02.2009, 08:27
    2. Dr.web обнаруживает Trojan.Rntm.10 и Trojan.Packed.612
      От Serikgan в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 22.02.2009, 07:52
    3. Trojan.Rntm.10
      От gorchakov в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 22.02.2009, 07:15
    4. Trojan.Rntm.10
      От Гондурас в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 22.02.2009, 07:08
    5. Trojan.RNTM.16
      От AMBA в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 22.02.2009, 06:41

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01069 seconds with 17 queries