msdrive32, wshost32, vse432, win7service etc... надоедливые процессы.

[f1shb0ne]

Эти процеcсы инициируют сетевые подключения (в основном msdrive32.exe), поработав некоторое время исчезают оставляя после себя экзешники в имени которых произвольный набор чисел (например 65.exe и т.д.).
Антивирусы находят их и лечат (они в основном лежат в c:\winnt, c:\winnt\system32, c:\RECYCLER, c:\dll32b.exe) но после перезагрузки системы они восстанавливаются (восстановление системы отключено).
Буду благодарен за любую помощь

[Белый Сокол]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINNT\system32\wshost32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0240430066-4213262780-417417981-5971\csvcs.exe,explorer.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0240430066-4213262780-417417981-5971\csvcs.exe','');
 QuarantineFile('C:\WINNT\system32\Drivers\pssdk41.sys','');
 QuarantineFile('C:\WINNT\system32\Drivers\PsSdk30.drv','');
 QuarantineFile('C:\WINNT\system32\drivers\amon.sys','');
 QuarantineFile('C:\WINNT\system32\drivers\nod32drv.sys','');
 QuarantineFile('C:\WINNT\System32\Drivers\am4w13xw.SYS','');
 TerminateProcessByName('c:\winnt\msdrive32.exe');
 QuarantineFile('c:\winnt\msdrive32.exe','');
 DeleteFile('c:\winnt\msdrive32.exe');
 DeleteFile('C:\WINNT\System32\Drivers\am4w13xw.SYS');
 DeleteFile('C:\RECYCLER\S-1-5-21-0240430066-4213262780-417417981-5971\csvcs.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0240430066-4213262780-417417981-5971\csvcs.exe,explorer.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe');
 DeleteFile('C:\WINNT\system32\wshost32.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteRepair(13);
 ExecuteRepair(16);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).

Повторите логи.

[f1shb0ne]

Повторные логи:

Я заметил, что скрипт менялся в 12:06 (я, наверное, выполнил более раннюю версию скрипта) - мне следует выполнить заново скрипт и повторить логи?

[Rene-gad]

-Выполните скрипт:

begin
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
SetAVZPMStatus(false);
RebootWindows(true);
end.

После перезагрузки:

- Удалите Bonjour.
- Очистите темп-папки, кэш проводников и корзину.
- Повторите в точности действия, описанные в пп.2 и 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[f1shb0ne]

корзина не чистится из за файла csvcs.exe который занят другим процессом
в Temp папке точно такое же но файл 598.exe

Повторные логи:

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINNT\msdrive32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0147065276-1455131732-215480851-3867\csvcs.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe');
 DeleteFile('C:\WINNT\system32\wshost32.exe');
 DeleteFile('C:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\system32.exe');
 DeleteFile('c:\docume~1\kiska~1.sma\locals~1\temp\598.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-00401C608512}');
RebootWindows(true);
end.

Компьютер перезагрузится.
Повторите п.2 раздела Диагностика.

[f1shb0ne]

Повторный лог:

[f1shb0ne]

корзина почистилась полностью
Temp - остался только 0 байт файл с названием (etilqs_doVbcjrkIBfk8TEmukji), который занят каким-то процессом
В диспетчере задач тех всех процессов нету кроме одного defmg.exe - "netstat -ona" показывает что он держит 13 внешних TCP соединений в состоянии 2 в состоянии "Established" и 11 в "Close_Wait"

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINNT\system32\drivers\defmgr.exe','');
 DeleteFile('C:\WINNT\system32\drivers\defmgr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Повторите п.2 раздела Диагностика.

[f1shb0ne]

Повторный лог:

[Bratez]

Больше ничего плохого не видно.
Какие-то проблемы остались?

[f1shb0ne]

В корзине лежит 1 обьект system32.exe - занят другим процессом
HijackThis показывает 2 обьекта О4 связаных с win7service.exe(он находится в C:\WINNT)

Лог:

[Белый Сокол]

Выполните:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('C:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\system32.exe');
 DeleteFile('C:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\system32.exe');
 DeleteFile('C:\WINNT\win7service.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;                                   
 BC_Activate;
 RebootWindows(true);
end.

ПК перезагрузится.

Пофиксите:

O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINNT\win7service.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINNT\win7service.exe

Повторите логи.

[f1shb0ne]

Повторные логи:

[Белый Сокол]

Выполните:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DelCLSID('08B0E5C0-4FCB-11CF-AAX5-00401C608512');
 DeleteFile('C:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\system32.exe');       
 BC_ImportDeletedList;        
 ExecuteSysClean;
 SetAVZPMStatus(true);
 BC_Activate;
 RebootWindows(true);
end.

Повторите логи.

Дополнительно:
- Скачайте GMER по одной из указанных ссылок:
Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)
- Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).
Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

• Sections
• IAT/EAT
• Show all

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
- Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

[f1shb0ne]

Я заметил в логе HijackThis есть 2 обьекта О4 winhost.exe
В корзине снова появился system32.exe
В диспетчере задач появились: win7service.exe, defmgr.exe, system32.exe, secrun.exe (также появляются и пропадают 42.exe, 43.exe, 85.scr и подобные)

Повторные логи:

[Белый Сокол]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINNT\system32\drivers\MacHALDriver.sys','');
 QuarantineFile('C:\WINNT\system32\drivers\KeyAgent.sys','');
 QuarantineFile('c:\winnt\system32\drivers\winhost.exe','');
 TerminateProcessByName('c:\winnt\system32\drivers\winhost.exe');
 QuarantineFile('c:\recycler\s-1-6-21-2434476501-1644491937-600003330-1213\system32.exe','');
 DeleteFile('c:\recycler\s-1-6-21-2434476501-1644491937-600003330-1213\system32.exe');
 DeleteFile('c:\winnt\system32\drivers\winhost.exe');
 DeleteFile('C:\WINNT\win7service.exe');
 DeleteFile('C:\WINNT\system32\drivers\defmgr.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteRepair(9);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).

Повторите логи.

[f1shb0ne]

- заметил что появился новый процесс TASKMAN.exe
- через некоторое время появляется 50.scr пропадает и появляется system32.exe (как обычно хранится в корзине)
Логи:

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-00401C608512}');
 QuarantineFile('C:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\system32.exe','');
 DeleteFile('C:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\system32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новые логи

[f1shb0ne]

Процессы win7service.exe, system32.exe

Логи: