Показано с 1 по 14 из 14.

Вирус с файлами msnwm.exe и kernelx86.sys (заявка № 62990)

  1. #1
    Junior Member Репутация
    Регистрация
    17.06.2008
    Сообщений
    20
    Вес репутации
    36

    Thumbs up Вирус с файлами msnwm.exe и kernelx86.sys

    Проблема собственно возникает второй раз, в первый раз было уже все очень сильно запущено и пришлось систему снести, винт отформатировать. Однако, не прошло и 2 недель, как вирус появился вновь, причем хозяйка компа утверждает под присягой, что на сайты залезала, только государственные, а чужие флешки в ее системник не вхожи. В общем, то если верить Доктору Хаусу - все лгут. Но имеет то, что имеем, комп снова заражен и наблюдаются следующие симпотомы:
    1. Восстановление системы заблокировано, причем, на сером фоне птичка на запрете восстановления системы стоит. AVZ разблокировать восстановление системы не может, точнее пишет, что разблокировал, но всё остется по прежнему.
    2. Появилась служба с именем "qsmhpъiЙ"
    3. Скрытые файлы не отображаются, причем, когда ставлю птичку в Свойствах папки на пункте отображать скрытые фалы, ничего не происходит, а при повторном запуске свойства папки, птичка стоит, на пункте Не отображать скрыте файлы.
    4. AVZ и HijackThis прекращают работу после запуска, я переименовал ехе файлы, просто вставил цифирку 1 и эти программки запустились и работали.
    5. Компьютер исчез из сети, т.е. он сам видит всех в сетевом окружении, а вот его в сети никто не видит.

    Ну собственно, при подготовке к диагностике, я в безопасном режиме проверял комп CureIt несколько раз, каждый раз вирусов становилось все меньше , после третей проверки он нашел только 1 вирус.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    ВайБро Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Ingener
    Регистрация
    05.09.2009
    Адрес
    Воронеж
    Сообщений
    819
    Вес репутации
    328
    1) Пофиксите в HijackThis:
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
    O4 - HKLM\..\Run: [ctfmon.exe] ctfmon.exe
    2) Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
     TerminateProcessByName('c:\windows\system32\msnwm.exe');
     StopService('kernelx86');
     QuarantineFile('c:\windows\system32\ojcps.dll','');
     QuarantineFile('C:\DOCUMENTS AND SETTINGS\LOCALSERVICE\LOCAL SETTINGS\APPLICATION DATA\.#\MBX@6AC@1373348.###','');
     DeleteService('xnzwjbzd');
     QuarantineFile('C:\WINDOWS\System32\Drivers\xnzwjbzd.sys','');
     DeleteService('mmtxydrd');
     QuarantineFile('C:\WINDOWS\System32\Drivers\mmtxydrd.sys','');
     DeleteService('kbfldlpo');
     QuarantineFile('C:\WINDOWS\System32\Drivers\kbfldlpo.sys','');
     DeleteService('histpvij');
     QuarantineFile('C:\WINDOWS\System32\Drivers\histpvij.sys','');
     DeleteService('kernelx86');
     QuarantineFile('C:\WINDOWS\system32\drivers\kernelx86.sys','');
     QuarantineFile('c:\windows\system32\msnwm.exe','');
     QuarantineFile('C:\System Volume Information\_restore{1B4C5121-8EC3-4BF2-8FB6-E8F485D482F0}\RP16\A0004723.sys','');
     QuarantineFile('C:\System Volume Information\_restore{1B4C5121-8EC3-4BF2-8FB6-E8F485D482F0}\RP16\A0004738.sys','');
     DeleteFile('C:\System Volume Information\_restore{1B4C5121-8EC3-4BF2-8FB6-E8F485D482F0}\RP16\A0004738.sys');
     DeleteFile('C:\System Volume Information\_restore{1B4C5121-8EC3-4BF2-8FB6-E8F485D482F0}\RP16\A0004723.sys');
     DeleteFile('c:\windows\system32\msnwm.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\kernelx86.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\histpvij.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\kbfldlpo.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\mmtxydrd.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\xnzwjbzd.sys');
    BC_ImportALL;
    ExecuteSysClean;
    ExecuteRepair(9);
    ExecuteWizard('TSW', 2, 2, true);
    ExecuteWizard('SCU', 2, 2, true);
    BC_Activate;
    ClearHostsFile;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    3) Затем выполните второй скрипт в AVZ:
    Код:
    begin 
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки с AVZ закачайте по ссылке "прислать запрошенный карантин" вверху темы.
    4) Сделайте новые логи.
    GHETTO/STREET WORKOUT

  4. #3
    Junior Member Репутация
    Регистрация
    17.06.2008
    Сообщений
    20
    Вес репутации
    36
    Видимые изменения:
    1. Отключение восстановления системы разблокировалось, птичка там стоит.
    2. Скрытые файлы и папки теперь видно, однако птичка с пункта "Скрыть защищенные системные файлы" не убирается, ну т.е. убирается, но появляется вновь.
    3. Однако, компьютер по прежнему не видно в локальной сети.
    4. Служба с именем "qsmhpъiЙ" не удалилась, зато теперь её стало возможно отключить, что собственно я и сделал.

    Карантин отправил.

    Новые логи

  5. #4
    ВайБро Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Ingener
    Регистрация
    05.09.2009
    Адрес
    Воронеж
    Сообщений
    819
    Вес репутации
    328
    1) Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
     DeleteService('kernelx86');
     QuarantineFile('C:\WINDOWS\system32\drivers\kernelx86.sys','');
     DeleteFile('C:\WINDOWS\system32\drivers\kernelx86.sys');
    BC_ImportALL;
    ExecuteSysClean;
    ExecuteRepair(6);
    ExecuteRepair(8);
    ExecuteWizard('TSW', 2, 2, true);
    ExecuteWizard('SCU', 2, 2, true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    2) Затем выполните второй скрипт в AVZ:
    Код:
    begin 
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки с AVZ закачайте по ссылке "прислать запрошенный карантин" вверху темы.
    3) Сделайте новый лог virusinfo_syscheck.zip и опишите какие проблемы остались.
    GHETTO/STREET WORKOUT

  6. #5
    Junior Member Репутация
    Регистрация
    17.06.2008
    Сообщений
    20
    Вес репутации
    36
    Вот что получилось:
    1. AVZ теперь запускается без изменения имени, это из хорошего ).
    2. В свойствах папки птичка с пункта "Скрыть защищенные системные файлы" не убирается, ну т.е. убирается, но появляется вновь (эта проблемка осталась).
    3. Расшаренные папки на этом компьютере другим компам в локальной сети не видны, однако он пингуется через командную строку.

    Вообще, спасибо большое за помощь.

    Карантин послать правильно не получается, пишет ошибку, так как такой файл уже был отправлен, я его как честный дядя переименовал, но та же история. В целом файл с карантином пустой, я посмотрел , поэтому прикрепляю его к ответу.
    Вложения Вложения

  7. #6
    ВайБро Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Ingener
    Регистрация
    05.09.2009
    Адрес
    Воронеж
    Сообщений
    819
    Вес репутации
    328
    1) Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
     QuarantineFile('C:\WINDOWS\system32\ojcps.dll','');
     DeleteFile('C:\WINDOWS\system32\ojcps.dll');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ias\Parameters','ServiceDll');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Файл quarantine.zip из папки с AVZ закачайте по ссылке "прислать запрошенный карантин" вверху темы.
    2) Сделайте такие логи:
    http://virusinfo.info/showthread.php?t=53070
    http://virusinfo.info/showthread.php?t=40118


    3. Расшаренные папки на этом компьютере другим компам в локальной сети не видны, однако он пингуется через командную строку.
    Здесь посмотрите: http://forum.ru-board.com/topic.cgi?forum=8&topic=2161
    GHETTO/STREET WORKOUT

  8. #7
    Junior Member Репутация
    Регистрация
    17.06.2008
    Сообщений
    20
    Вес репутации
    36
    В свойствах папки птичка с пункта "Скрыть защищенные системные файлы" не убирается, ну т.е. убирается, но появляется вновь (эта проблемка осталась).

    После сканирования MBAM в отчете явный вирус C:\WINDOWS\Prefetch\SVCHOST.EXE (Trojan.Agent) - я его удалять не стал пока, потому что в инструкции, на которую отправляет ваша ссылка, сказано ничего не удалять по своему усмотрению.

    карантин отправил.
    Новые логи.

  9. #8
    ВайБро Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Ingener
    Регистрация
    05.09.2009
    Адрес
    Воронеж
    Сообщений
    819
    Вес репутации
    328
    1) Удалите в mbam:
    Код:
    Заражено ключей реестра:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ctfmon.exe (Security.Hijack) -> No action taken.
    Заражено файлов:
    C:\WINDOWS\Prefetch\SVCHOST.EXE (Trojan.Agent) -> No action taken.
    2) Выполните скрипт в AVZ:
    Код:
    begin
    ExecuteRepair(6);
    ExecuteRepair(8);
    ExecuteWizard('TSW', 1, 1, true);
    ExecuteWizard('SCU', 2, 2, true);
    RebootWindows(false);
    end.
    Компьютер перезагрузится.
    3) Сделайте новый лог mbam.
    4) Сообщите решена ли проблема с отображением скрытых защищенных системных файлов.
    GHETTO/STREET WORKOUT

  10. #9
    Junior Member Репутация
    Регистрация
    17.06.2008
    Сообщений
    20
    Вес репутации
    36
    Проблема с отображением скрытых защищенных системных файлов не решена.
    Кроме того, нашел еще одну проблемку:
    Зашел в Центр обеспечения безопасности и обнаружил, что пункт "Изменить способ оповещения центом обеспечения безопасности" заблокирован, попытался войти в Параметры Брендмауэра Windows - пишет, что в следствии неопределенной ошибки не удается отобразить параметры Брендмауэра Windows.

    вот новый лог mbam:

  11. #10
    ВайБро Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Ingener
    Регистрация
    05.09.2009
    Адрес
    Воронеж
    Сообщений
    819
    Вес репутации
    328
    1) Удалите в mbam:
    Код:
    Заражено параметров реестра:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
    2) Выполните скрипт в AVZ:
    Код:
    Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
    var
    i : integer; 
    KeyList : TStringList;
    KeyName : string;                           
    begin
    RegKeyResetSecurity(ARoot, AName);
    KeyList := TStringList.Create;
    RegKeyEnumKey(ARoot, AName, KeyList);
    for i := 0 to KeyList.Count-1 do
     begin
     KeyName := AName+'\'+KeyList[i];
     RegKeyResetSecurity(ARoot, KeyName);
     RegKeyResetSecurityEx(ARoot, KeyName);
     end;
    KeyList.Free;
    end;
    
    begin 
    RegKeyResetSecurityEx('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Explorer');
    RegKeyResetSecurityEx('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer');
    end.
    3) Пуск - Выполнить, введите regsvr32 /i shell32.dll и нажмите ввод.
    4) Перезагрузите компьютер.
    5) Сообщите остались ли какие-либо проблемы.
    GHETTO/STREET WORKOUT

  12. #11
    Junior Member Репутация
    Регистрация
    17.06.2008
    Сообщений
    20
    Вес репутации
    36
    Цитата Сообщение от Badabum Посмотреть сообщение
    Зашел в Центр обеспечения безопасности и обнаружил, что пункт "Изменить способ оповещения центом обеспечения безопасности" заблокирован, попытался войти в Параметры Брендмауэра Windows - пишет, что в следствии неопределенной ошибки не удается отобразить параметры Брендмауэра Windows.
    эта проблема осталась.

    Однако, проблемы со скрытием системных файлов больше нет. Большое спасибо.

  13. #12
    ВайБро Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Ingener
    Регистрация
    05.09.2009
    Адрес
    Воронеж
    Сообщений
    819
    Вес репутации
    328
    эта проблема осталась.
    Это нормально - просто firewall сторонних производителей (у вас Symantec) при работе отключают встроенный в WINDOWS firewall, чтобы не возникало конфликтов.
    Также проверьте запущена ли служба брандмауэра WINDOWS.

    Рекомендации:
    1) Установите SP3 и все последующие обновления (заплатки).
    2) Установите Internet Explorer 8.
    3) Заставьте хозяйку компьютера ознакомиться с этой темой: http://virusinfo.info/showthread.php?t=30339
    GHETTO/STREET WORKOUT

  14. #13
    Junior Member Репутация
    Регистрация
    17.06.2008
    Сообщений
    20
    Вес репутации
    36
    В общем, Центр обеспечения безопасности в службах был отключен, я его включил и пункт "Изменить способ оповещения центом обеспечения безопасности" стал активным.
    Службы Брендмауэр Windows вообще с списке служб нет, поэтому и возникает неопределенной ошибка при запуске параметров брендмауэра.

    Рекомендации постараюсь выполнить, спасибо.

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,317
    Вес репутации
    954

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 6
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\system32\msnwm.exe - Trojan.Win32.Buzus.crzt ( DrWEB: Trojan.Inject.7644, BitDefender: Trojan.Buzus.EY, AVAST4: Win32:Malware-gen )
      2. c:\windows\system32\ojcps.dll - Trojan-PSW.Win32.Bjlog.drj ( DrWEB: Adware.Baidu.1466, AVAST4: Win32:Trojan-gen )

    Рекомендации:
    1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !


  • Уважаемый(ая) Badabum, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. вирус с файлами hdcd.exe и hddd.exe
      От Sorrrokin в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 15.04.2011, 00:25
    2. после msnwm.exe и рассадника других зверей
      От Kolya_Od в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 11.12.2009, 11:31
    3. Ответов: 7
      Последнее сообщение: 11.12.2009, 11:03
    4. msnwm.exe - одновременный запуск нескольких десятков процессов
      От gore_user в разделе Вредоносные программы
      Ответов: 5
      Последнее сообщение: 07.12.2009, 17:10
    5. Ответов: 28
      Последнее сообщение: 08.03.2009, 21:16

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00990 seconds with 17 queries