Троян. Backdoor

[Alexey]

Помогите, пожалуйста, победить трояна. Откуда взялся - сам не понимаю! Все инструкции выполнил. Скрипты в приложении. Спасибо.

[PavelA]

Вот такой набор. Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\WINDOWS\system32\digeste.dll','');
 QuarantineFile('00000C1D.sys','');
 QuarantineFile('C:\WINDOWS\system32\mmmiweiw.dll','');
 DeleteFile('C:\WINDOWS\system32\mmmiweiw.dll');
 DeleteFile('C:\WINDOWS\system32\digeste.dll');
 DeleteFile('C:\WINDOWS\services.exe');
 DeleteFile('C:\WINDOWS\system32\cssrss.exe');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать новые логи.

Загрузить карантин по Правилам.

[Alexey]

Спасибо! Все выполнил. Логи высылаю. Карантин выслал.

[Гриша]

Установите AVZPM и повторите логи AVZ...

[PavelA]

'C:\WINDOWS\system32\mmmiweiw.dll' - Backdoor.Win32.Agent.acrj
Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\digeste.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать логи AVZ.

[Alexey]

Высылаю логи. Спасибо

[PavelA]

Вот это было удалено:

cssrss.exe_ - Trojan.Win32.Agent2.xn,
digeste.dll - Trojan.Win32.Inject.nxt

Детектирование файлов будет добавлено в следующее обновление.

mmmiweiw.dll - Backdoor.Win32.Agent.acrj,
services.exe_ - Email-Worm.Win32.Joleee.er

Эти файлы определяются антивирусом. Обновите антивирусные базы

Добавлено через 2 минуты

Остаток дочистим:

begin
 DeleteFile('c:\windows\system32\digeste.dll');
ExecuteSysClean;
end.

Пункт 2 диагностики повторите.

[Alexey]

Доочистку выполнил. Высылаю логи. Спасибо!

[Alexey]

Еще раз.

[PavelA]

digeste.dll - придется искать руками через AVZ и удалять. Не хочет она уходить.
Еще вот это поищи: load1.exe
Поищи через AVZ '00000C48.sys' Если найдется, то положи в карантин и пришли.

[Alexey]

digeste.dll, load1.exe, '00000C48.sys' через AVZ не обнаруживаются. Что делать?

Добавлено через 47 минут

Есть только файлы:
'c:\windows\system32\digest.dll'
'c:\windows\system32\dllcache\digest.dll'
(без 'е'),
но в карантин скопировать их у меня не получается.
Жду инструкций.

[PavelA]

при помощи Gmer лог сделай.

Добавлено через 32 минуты

Выполнить и повторить логи AVZ.

begin
SetAVZPMstatus(true);
RebootWindows(true);
end.

[Alexey]

Выполнил. Высылаю повторенные логи AVZ.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\sysprep\factory.exe','');
 QuarantineFile('C:\Documents and Settings\Oleh\Oleh.exe','');
 DeleteService('securentm');
 QuarantineFile('C:\WINDOWS\system32\drivers\securentm.sys','');
 QuarantineFile('\??\C:\WINDOWS\system32\drivers\mjmqgq.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\00000AFD.sys');
 DeleteFile('\??\C:\WINDOWS\system32\drivers\mjmqgq.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
 DeleteFile('C:\Documents and Settings\Oleh\Oleh.exe');
 DeleteFile('C:\WINDOWS\services.exe');
 DeleteFile('C:\WINDOWS\system32\cssrss.exe');
 DeleteFile('C:\WINDOWS\system32\mmmfrzfr.dll');
 DeleteFile('digeste.dll');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('securentm');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[Alexey]

Скрипт выполнил. Карантин выслал. Высылаю логи.
Большое спасибо!

[light59]

в AVZ

begin
 BC_DeleteSvc('port135sik');
 BC_DeleteSvc('lpvqflpd');
BC_Activate;
RebootWindows(true);
end.

Посмотрите этот файлик C:\sysprep\factory.exe. Если он есть, то заахривируйте его с паролей virus и пришлите по правилам.
Логи повторите + лог HiJackThis сделайте.

[Alexey]

Скрипт выполнил. Файл C:\sysprep\factory.exe у себя на компьютере не обнаружил.
Высылаю логи и hijackthis.log.
Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\oleh\\oleh.exe - Trojan-Downloader.Win32.Agent.befd (DrWEB: Trojan.DownLoad.2359
  2. c:\\windows\\services.exe - Email-Worm.Win32.Joleee.er
  3. c:\\windows\\system32\\cssrss.exe - Trojan.Win32.Agent2.xn
  4. c:\\windows\\system32\\digeste.dll - Trojan.Win32.Inject.nxt
  5. c:\\windows\\system32\\drivers\\mjmqgq.sys - Rootkit.Win32.Agent.grs
  6. c:\\windows\\system32\\mmmiweiw.dll - Backdoor.Win32.Agent.acrj (DrWEB: Trojan.Click.origin)