Kido вернулся? Как?

[klegionk]

Всем доброго времени суток! Где-то в мае этого года моя сетка из 30 компьютеров подверглась атаке вируса Kido, примерно за пол дня были заражены абсолютно все компьютеры и втечении нескольких дней заражение было локализовано при помощи критических обновлений Майкрософта и KidoKiller v3.4.7. С тех пор на всех компьютерах с операционкой Xp SP3 стоят обновления Майкрософта по апрель месяц, активная антивирусная защита от AVG 8.5. Но в былую пятницу, вечерком на одном из компьютеров AVG обнаружил подозрительную dll-ку в system32, это был набор символов.dll, к понедельнику были заражены все, KidoKiller ничего не показывает, что делать незнаю
Помогите ПЖЛ
Логи с моей машини:

[thyrex]

Лог gmer сделайте

[klegionk]

готово:

[thyrex]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service bxppqcyft
gmer.exe -del service lvwadh
gmer.exe -del file "C:\WINDOWS\system32\zdmrtyzb.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\bxppqcyft"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\lvwadh"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\bxppqcyft"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\lvwadh"
gmer.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[klegionk]

что-то он агресивненько поплёвывался, типа немогу найти указаный путь, указаный модули и т.д.

log:

[thyrex]

В логе чисто

[klegionk]

Ок, спасибо, а незнаете случайно, это Кидо? Если да то как он снова записался если стоят обновления? Не судите строго мне ещё 30 компов лечить

[Kuzz]

Он еще и на флешках распространяется..
+ пытается подбирать пароли к учетным записям

[klegionk]

это всё понятно, только вирус распространился по сети! Как он это сделал если Майкрософт выпустил обновление которое не позволяет ему этого делать, это обновление стоит на всех компах, как?

[Kuzz]

Как он это сделал если Майкрософт выпустил обновление

+ пытается подбирать пароли к учетным записям

...

[klegionk]

Хотя я думаю иначе - соглашусь т.к. пароль с давних пор не менялся и имеет 6 символов, его я щас заменю.

Ещо есть какие-то мысли о том как кидо мог распространиться по сети в которой все компьютеры имеют Майкрософтофскую антиKIDOвскую защиту (в лице критических обновлений) и антивирусную защиту?

[Rene-gad]

Ещо есть какие-то мысли о том как кидо мог распространиться по сети ....

Задайте этот вопрос Вашему системному администратору.

[thyrex]

А сколько патчей поставили? Один или три?

[klegionk]

Я и есть системный администратор!

Патчи все 3 на SP2 и серверах, на SP3 сборка обновлений по апрель месяц в которых включены эти патчи.

Я вот почиму-то всегда думал что этот вирус сначала попадает на компьютер а потом генерирует пароли, а не с одной машини генерирует пароли на другую, тоесть даже если пероль был взломан патчи должны БЫЛИ недопускать запись вируса по какому-то там протаколу. Есть какие-то мысли по этому поводу?

[Kuzz]

тоесть даже если пероль был взломан патчи должны БЫЛИ недопускать запись вируса по какому-то там протаколу

Нет. Патчи не допускают заражения машины в обход системы паролей. Если же на какую то машину попадает (напр. с флешки), то далее перебирая пароли получает легитимный (т.е. подтвержденный логином/паролем) доступ и ставится как сервис

[klegionk]

Спасибо, я всё понел

На основе gmer попробую выличить все компьютеры, примерный смысл работы программы я вроде понел.

Пароли я поменял, посмотрим будут ли заражаться вылеченые машины