Win32/Rootkit.Agent.ODG

[alex-garad]

Здраствуйте.
ESET Smart Security 4.0.424.0 выдаёт сообщение:
"Оперативная память - Win32/Rootkit.Agent.ODG троянская программа - очистка невозможна".
Регулярные зависания, постоянно валятся Mozilla Firefox и uTorrent. Попытался поставить dr. Web - не запускается spIDer agent. Вернее запускается, но сразу вываливается

HijackThis тоже не запускается (ни в обычном, ни в безопасном режиме), поэтому его лог не смог приложить

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\msb.exe','');
 QuarantineFile('C:\WINDOWS\system32\gxvxcxuhabgdnfylsxmmdjjnwymdntrnsbdpa.dll','');
 QuarantineFile('C:\WINDOWS\system32\gxvxcrjhucnujrwebrtyixgidbrwrkdplqjjy.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\gxvxcpjctttmphpqryxeyxjsaowydoxlngevv.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\gxvxcpjctttmphpqryxeyxjsaowydoxlngevv.sys');
 DeleteFile('C:\WINDOWS\system32\gxvxcrjhucnujrwebrtyixgidbrwrkdplqjjy.dll');
 DeleteFile('C:\WINDOWS\system32\gxvxcxuhabgdnfylsxmmdjjnwymdntrnsbdpa.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=46666).
Сделайте новые логи (HijackThis тоже нужен).

[alex-garad]

Выполнил скрипт. Windows перегрузилась. При загрузке запустился процесс проверки диска "С" - ранее я помечал его на проверку, но после презагрузки проверка не запускалась - видимо из-за деятельности вируса. По окончании проверки загрузка продолжилась, загрузился рабочий стол, через 2 минуты система зависла, пришлось отключать питание системного блока. И так 3 раза.
Загрузился в безопасный режим. Там на всякий случай повторил выполнение скрипта, видимо из-за этого файлы в каратине удвоились. Карантин отослал.
Повторил все логи в безопасном режиме со всеми необходимыми перезагрузками.

[alex-garad]

Ответьте, пожалуйста.
Хотя бы скажите - имеет смысл ждать ответа?

[PavelA]

Если не Ваши настройки, то профиксить:

O17 - HKLM\System\CCS\Services\Tcpip\..\{619E75EE-753F-4002-B30A-02D928D9C912}: NameServer = 85.255.112.106,85.255.112.128
O17 - HKLM\System\CCS\Services\Tcpip\..\{8ACC1FCB-F0CC-43C9-A8E2-A2582C349BB7}: NameServer = 85.255.112.106,85.255.112.128
O17 - HKLM\System\CCS\Services\Tcpip\..\{940D985A-C1E8-48FF-AFF6-D4468DEF4F61}: NameServer = 85.255.112.106,85.255.112.128
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.106,85.255.112.128
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.106,85.255.112.128
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.106,85.255.112.128

После этого заново настройте сеть.
В карантине:
npclntax_ZangoSA.dll - not-a-virus:WebToolbar.Win32.Zango.aq

Выполнить скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\system32\DRIVERS\ehdrv.sys','');
 QuarantineFile('C:\WINDOWS\msb.exe','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам

Сделать лог при помощи Gmer.

[alex-garad]

Пофиксил. Сеть заново перестраивать не пришлось - работает.
Замечания относительно "npclntax_ZangoSA.dll" - не понял.
Скрипт выполнил. Логи повторил в безопасном режиме.

С GMER произошла странная вещь:
Скачал вчера, запустил в безопасном режиме. Он быстренько обнаружил изменение системы, вызванное активностью RootKit, спросил сделать ли полное сканирование системы, ответил "Yes". Сканирование длилось долго, не дождался пошёл спать. Утром обнаружил, что Windows кричит о невозможности сделать отоженную запись, что может быть связано с отказом оборудования (что-то про файл $Mft, $Directory, ещё что-то), а GMER - об обнаруженной активности RootKit. Потом почти всё зависло.
Перегрузил выключением питания. Запустил GMER - появилось окно и сразу началась перезагрузка. Повторил 3 раза, в один из разов запустил CureIt - вирусов не обнаружено.
Потом заново скачал GMER, запустил, он опять выдал то же сообшение об изменении системы и тот же вопрос о полном сканировании, я ответил "No". Лог приложил.

Карантин отправил.

Обычный режим загрузки Windows по прежнему не доступен

[PavelA]

Качаем icesword. В нем найти:
system32\drivers\gxvxcpjctttmphpqryxeyxjsaowydoxln gevv.sys и сделать ему forcedelete.

[alex-garad]

Скачал. При запуске последовательно выдаются 2 сообщения:
"Open device failed, error code 1073741762" и
"Initialize failed"
Программа не запускается

[PavelA]

попробуйте взять его вот отсюда:
http://www.megaupload.com/?d=AUGYD37C

[Aleksandra]

Сохраните содержимое как start.bat в каталоге с gmer запустите и после перезагрузки повторите лог gmer.

gmer.exe -del service gxvxcserv.sys
gmer.exe -del file "C:\WINDOWS\system32\drivers\gxvxcpjctttmphpqryxeyxjsaowydoxlngevv.sys"
gmer -reboot

Это на случай, если снова произойдет осечка.

[alex-garad]

hockey.pif при запуске повёл себя аналогично. сравнил посредством утилиты fc этот файл с iceword - различий не обнаружено. Забыл упомянуть, что диск "С" - это nvraid на чипсете NForce 4, некоторые Live CD, например TSLiveCD - его не видят.

Скрипт запустил. GMER последовательно отругался, что такой сервис не найден и такой модуль не найден и пошёл на перезагрузку. Вообще-то здесь я тоже не упомянул, что в ожидании ответа побаловался ручками: в окне GMER кликнул мышкой на красной строчке и сначала задизаблил сервис, потом удалил его нафиг.

Собсно, проблема: компьютер виснет при загрузке рабочего стола в обычном режиме. Виснет не сразу, а через 1-2 минуты, когда ешё не всё загрузилось - винчестер там о чём-то шуршит. Что любопытно - если в эту минуту запустить Far - он работает нормально... до тех пор пока не понадобится сменить диск или запустить программу.

Прикольно.

[Aleksandra]

Прикольно.

Мне тоже.

Добавлено через 1 минуту

В логе Gmer чисто.

[alex-garad]

Ха! Заработало!
Вы будете смеяться, но это был SpiderGuard! Выключая всё подряд из автозапуска, сделал гениальный финт мышкой, нанёс ему смертельный укол, и - вуаля, живём!
пока...

Спасибо!!!

[PavelA]

Ничего удивительного: два а/вируса с внутренней защитой всегда себя так ведут.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 23
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\!archive\from_c\program files\mozilla firefox\plugins\npclntax_zangosa.dll - not-a-virus:AdTool.Win32.Zango.aq ( DrWEB: Adware.Zango.83, BitDefender: Adware.Generic.41739 )