Нахватались троянов итп.

**etopop12** · 23.03.2009, 23:01

В системе куча виросов, червей, троянов.
Также в при загрузке появляется только пустой рабочий стол, без иконок и панели задач. При входе в диспетчер задач делаю "выполнить новую задачу" и проводник - тогда рабочий стол оживает и все на нем появляется.
Помогите избавиться от вирусов и решить проблему с нормальной загрузкой, пожалуйста.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 23.03.2009, 23:39

выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\ldphrlhi.sys','');
 QuarantineFile('sys32.dll','');
 QuarantineFile('c:\uupf8rvf.exe','');
 QuarantineFile('c:\BKCOuhNy.exe','');
 QuarantineFile('c:\Apedt7.exe','');
 QuarantineFile('c00469D6.mat','');
 QuarantineFile('WinNt64.dll','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\wdmon.exe','');
 QuarantineFile('C:\WINDOWS\vlc.exe','');
 QuarantineFile('C:\WINDOWS\taskmg.exe','');
 QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
 QuarantineFile('C:\WINDOWS\system.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\spool.exe','');
 QuarantineFile('C:\WINDOWS\sms.exe','');
 QuarantineFile('C:\WINDOWS\servicelayer.exe','');
 QuarantineFile('C:\WINDOWS\odb.exe','');
 QuarantineFile('C:\WINDOWS\amoumain.exe','');
 QuarantineFile('C:\WINDOWS\alg.exe','');
 QuarantineFile('C:\WINDOWS\lsass.exe','');
 DeleteService('tcpsr');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 DeleteService('kxcvisco');
 QuarantineFile('C:\WINDOWS\System32\Drivers\kxcvisco.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\egU68.sys','');
 DeleteService('egU68');
 DeleteService('dnQ86');
 QuarantineFile('C:\WINDOWS\System32\Drivers\dnQ86.sys','');
 DeleteService('ldphrlhi');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ldphrlhi.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Pdg17.sys','');
 DeleteService('Pdg17');
 DeleteService('Passthru');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\ndisio.sys','');
 QuarantineFile('Pdg17.sys','');
 TerminateProcessByName('c:\windows\svzip.exe');
 QuarantineFile('c:\windows\svzip.exe','');
 TerminateProcessByName('c:\windows\svhoster.exe');
 QuarantineFile('c:\windows\svhoster.exe','');
 TerminateProcessByName('c:\windows\svc.exe');
 QuarantineFile('c:\windows\svc.exe','');
 TerminateProcessByName('c:\windows\sv.exe');
 QuarantineFile('c:\windows\sv.exe','');
 TerminateProcessByName('c:\windows\servicelayer.exe');
 QuarantineFile('c:\windows\servicelayer.exe','');
 TerminateProcessByName('c:\windows\odb.exe');
 QuarantineFile('c:\windows\odb.exe','');
 TerminateProcessByName('c:\documents and settings\user\application data\microsoft\windows\lsass.exe');
 QuarantineFile('c:\documents and settings\user\application data\microsoft\windows\lsass.exe','');
 TerminateProcessByName('c:\windows\ctfmon.exe');
 QuarantineFile('c:\windows\ctfmon.exe','');
 DeleteFile('c:\windows\ctfmon.exe');
 DeleteFile('c:\documents and settings\user\application data\microsoft\windows\lsass.exe');
 DeleteFile('c:\windows\odb.exe');
 DeleteFile('c:\windows\servicelayer.exe');
 DeleteFile('c:\windows\sv.exe');
 DeleteFile('c:\windows\svc.exe');
 DeleteFile('c:\windows\svhoster.exe');
 DeleteFile('c:\windows\svzip.exe');
 DeleteFile('C:\Documents and Settings\User\Application Data\Microsoft\Windows\lsass.exe');
 DeleteFile('Pdg17.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\ndisio.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Pdg17.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ldphrlhi.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\dnQ86.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\egU68.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\kxcvisco.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\lsass.exe');
 DeleteFile('C:\WINDOWS\alg.exe');
 DeleteFile('C:\WINDOWS\amoumain.exe');
 DeleteFile('C:\WINDOWS\odb.exe');
 DeleteFile('C:\WINDOWS\servicelayer.exe');
 DeleteFile('C:\WINDOWS\sms.exe');
 DeleteFile('C:\WINDOWS\spool.exe');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system.exe');
 DeleteFile('C:\WINDOWS\system32\svshost.dll');
 DeleteFile('C:\WINDOWS\taskmg.exe');
 DeleteFile('C:\WINDOWS\vlc.exe');
 DeleteFile('C:\WINDOWS\wdmon.exe');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('WinNt64.dll');
 DeleteFile('c00469D6.mat');
 DeleteFile('c:\Apedt7.exe');
 DeleteFile('c:\BKCOuhNy.exe');
 DeleteFile('c:\uupf8rvf.exe');
 DeleteFile('sys32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\ldphrlhi.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\dnQ86.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\egU68.sys');
 DeleteFile('C:\WINDOWS\system32\WinNt64.dll');
 DeleteFile('C:\WINDOWS\Temp\teste3_p.exe');
 DeleteFile('C:\WINDOWS\Temp\teste4_p.exe');
 DeleteFile('C:\WINDOWS\system32\WlCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

**etopop12** · 24.03.2009, 01:11

Спасибо.
Карантин выслал.
Логи прилагаются.
После выполнения Вашего скрипта вроде все было чисто, но после собирания логов и перезагрузок в процессах опять появились всякие пакости.
Проверьте , пожалуйста.

**Bratez** · 24.03.2009, 02:24

Пофиксите в HijackThis:

Код:

O20 - Winlogon Notify: c00469D6 - C:\WINDOWS\
O20 - Winlogon Notify: sys32 - C:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('c:\CPxs7U.exe','');
 QuarantineFile('C:\WINDOWS\svx.exe','');
 QuarantineFile('C:\WINDOWS\svw.exe','');
 DeleteFile('C:\WINDOWS\svw.exe');
 DeleteFile('C:\WINDOWS\svx.exe');
 DeleteFile('c:\CPxs7U.exe');
BC_ImportALL;
ExecuteSysClean;
 BC_DeleteSvc('Pdg17');
 BC_DeleteSvc('ldphrlhi');
 BC_DeleteSvc('klstm');
 BC_DeleteSvc('ids001b8');
 BC_DeleteSvc('egU68');
 BC_DeleteSvc('dnQ86');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

**etopop12** · 24.03.2009, 18:41

Пофиксил.
Скрипт выполнил, правда немного его изменил, т.к. в корне диска добавились новые exe-шники. Карантин с ними выслал.

Вот такой скрипт запускал:
moderated

**V_Bond** · 24.03.2009, 20:13

выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('kxcvisco');
 DeleteFile('C:\WINDOWS\System32\Drivers\kxcvisco.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

**etopop12** · 24.03.2009, 20:25

выполнил,
высылаю логи...

**V_Bond** · 24.03.2009, 20:54

выполните скрипт

Код:

begin
SetAVZGuardStatus(True);
 QuarantineFile('c:\Iiana.exe','');
 DeleteFile('c:\Iiana.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

**etopop12** · 25.03.2009, 20:28

Скрипт выполнил, но карантин пустой, т.к. файла "c:\Iiana.exe" не было до скрипта.
логи высылаю.
спасибо.

**V_Bond** · 25.03.2009, 20:57

что с проблемой ... ?

**etopop12** · 25.03.2009, 21:02

проблем не наблюдается.
можно предположить , что все чисто ?
спасибо.

**Гриша** · 25.03.2009, 21:14

Можно

**CyberHelper** · 26.03.2009, 21:14

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 59
В ходе лечения обнаружены вредоносные программы:
1. c:\apedt7.exe - Trojan-Clicker.Win32.Agent.gyl
2. c:\a9dapxi.exe - Trojan-Clicker.Win32.Agent.gyl
3. c:\a9dapxi2.exe - Trojan-Banker.Win32.Banbra.hfd
4. c:\bkcouhny.exe - Trojan-Clicker.Win32.Agent.gyl
5. c:\documents and settings\user\application data\microsoft\windows\lsass.exe - Trojan.Win32.Buzus.acql ( DrWEB: Trojan.DownLoad.4693, BitDefender: Trojan.BhoSearcher.B )
6. c:\e7b092.exe - Trojan-Banker.Win32.Banbra.hfd
7. c:\qg5.exe - Trojan-Clicker.Win32.Agent.gyl
8. c:\qg52.exe - Trojan-Banker.Win32.Banbra.hfd
9. c:\uupf8rvf.exe - Trojan-Clicker.Win32.Agent.gyl
10. c:\windows\amoumain.exe - Backdoor.Win32.UltimateDefender.hes ( DrWEB: Trojan.PWS.Banker.27830, BitDefender: Trojan.Generic.1562552 )
11. c:\windows\lsass.exe - Trojan-Clicker.Win32.Delf.cdq ( DrWEB: Trojan.PWS.Banker.27840 )
12. c:\windows\odb.exe - Trojan-Clicker.Win32.Agent.gzi ( BitDefender: Trojan.Generic.1562633 )
13. c:\windows\servicelayer.exe - Trojan-Clicker.Win32.Agent.gzj ( DrWEB: Trojan.PWS.Banker.27841 )
14. c:\windows\sms.exe - Trojan-Clicker.Win32.Agent.gzh ( DrWEB: Trojan.PWS.Banker.27843 )
15. c:\windows\svc.exe - Trojan-Clicker.Win32.Agent.gzk ( DrWEB: Trojan.Siggen.106 )
16. c:\windows\sv.exe - HEUR:Trojan.Win32.Generic
17. c:\windows\svhoster.exe - Backdoor.Win32.UltimateDefender.her
18. c:\windows\svw.exe - Trojan-Clicker.Win32.Agent.gzl ( DrWEB: Trojan.Siggen.106 )
19. c:\windows\svx.exe - Trojan-Clicker.Win32.Delf.cdi ( DrWEB: Trojan.Siggen.106 )
20. c:\windows\svzip.exe - Backdoor.Win32.UltimateDefender.xj
21. c:\windows\system.exe - Trojan-Clicker.Win32.Agent.gzm ( DrWEB: Trojan.PWS.Banker.27831 )
22. c:\windows\system32\drivers\dnq86.sys - Trojan-Dropper.Win32.Agent.stj ( BitDefender: Trojan.Dropper.SFO )
23. c:\windows\system32\drivers\egu68.sys - Trojan-Downloader.Win32.Mutant.adi
24. c:\windows\system32\ntos.exe - Trojan-Spy.Win32.Zbot.qlo
25. c:\windows\system32\winnt64.dll - Trojan-Downloader.Win32.Mutant.aff ( DrWEB: Trojan.DownLoader.63559, BitDefender: Trojan.Dropper.Kobcka.Gen.1 )
26. c:\windows\temp\teste3_p.exe - Trojan-Clicker.Win32.Agent.gzj ( DrWEB: Trojan.PWS.Banker.27841 )
27. c:\windows\temp\teste4_p.exe - Backdoor.Win32.UltimateDefender.hes ( DrWEB: Trojan.PWS.Banker.27830, BitDefender: Trojan.Generic.1562552 )
28. c:\windows\wdmon.exe - Trojan-Clicker.Win32.Agent.gzo ( DrWEB: Trojan.Click.20378 )
29. c:\w9ob.exe - Trojan-Clicker.Win32.Agent.gyl
30. c:\w9ob2.exe - Trojan-Banker.Win32.Banbra.hfd

Рекомендации:

Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !

Нахватались троянов итп. (заявка № 42357)

Опции темы

Нахватались троянов итп.

Итог лечения

Похожие темы

куча троянов

Куча троянов [Trojan.Win32.Inject.nph ]

Куча троянов

10 троянов

Кучка троянов

Ваши права в разделе