Помогите убить вирус BAGLE!

**kapo** · 18.12.2009, 14:59

Две недели безуспешно борюсь с вирем. Поймал с e-mule.
Касперский не работает. В безопасный режим не попасть.
Проги типа avz, hijackthis и iceSword "не являются приложением win32", либо просто сообщение "программа не запускается". Переименование ничего не дает.
Как только выхожу в интернет под своей уч.записью - начинаются скачки в D&S\..\APP.Data\drivers\*.exe
Cureit тоже не стартует. DrWeb LiveCD от 10.12.09 просканил, кое-что нашел, удалил, а после загрузки виндов все повторилось.
Еще я снимал винт и проверял каспером на другом компе. Удалил один файлик и всё. Но, то-ли совпадение, то-ли под действием этого же виря, после перезагрузки на том компе вылезла другая зараза про file downloader и 6-тичасовое бесплатное пользование. С ней справился.
Был у меня полиморфный АВЗ. Запустил, лог прилагаю. Еще скачал по ссылке 1.zip hijack, его тоже удалось запустить . Лог прилагаю.
Система WInXP Pro SP3 лицензионная, а в один прекр. момент при загрузке вышло офиц. требование о регистрации. Ну, я опять зарегил через ИНТЕРНЕТ, больше не спрашивала.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**snifer67** · 18.12.2009, 15:07

вложите в сообщение файлы логов, полученных в процессе диагностики (AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log) - всего должно быть 3 лога

**kapo** · 18.12.2009, 15:23

HJT приложен, а AVZ полиморфный работает без каталога и ничего кроме вышеотправленного не создает.

**light59** · 18.12.2009, 15:32

В AVZ -> файл-> Выполнить скрипт Выполнять 2 раза.

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('%System32%\drivers\srosa.sys','');
 QuarantineFile('%System32%\drivers\hldrrr.exe','');
 QuarantineFile('%System32%\wintems.exe','');
 QuarantineFile('%System32%\drivers\mdelk.exe','');
 QuarantineFile('%System32%\mdelk.exe','');
 DeleteFile('%System32%\drivers\hldrrr.exe');
 DeleteFile('%System32%\drivers\srosa.sys');
 DeleteFile('%System32%\wintems.exe');
 DeleteFile('%System32%\drivers\mdelk.exe');
 DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
 begin
  DeleteFileMask('%System32%\drivers\down', '*.*', true);
  DeleteDirectory('%System32%\drivers\down');
 If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
 end
  else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
 begin
  DeleteFileMask('%System32%\drivers\downld', '*.*', true);
  DeleteDirectory('%System32%\drivers\downld');
 If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
 end
  else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end; 
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end; 
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!'); 
SaveLog(GetAVZDirectory + 'B_d.txt');
 ExecuteRepair(10);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке Прислать запрошенный карантин.

Попробуйте сделать логи обычным AVZ, как написано в правилах.

**kapo** · 18.12.2009, 17:21

Безопасный режим запустился. AVZ тоже заработал. SYSCURE пустой(22 байта), а карантин пишет, что такой файл уже есть.
Выкладываю логи АВЗ.
HJT обычный пока не работает, а полиморфный новый лог приложил.

**snifer67** · 18.12.2009, 18:26

Выполните скрипт в avz

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\Админ\Application Data\drivers\winupgro.exe');
 QuarantineFile(' C:\Documents and Settings\Админ\Application Data\drivers\downld\706015.exe','');
 DeleteService('UJ');
 DeleteService('ADIJVMLZE');
 DeleteFile('c:\Temp\ADIJVMLZE.exe');
 DeleteFile('c:\Temp\UJ.exe');
DeleteFileMask('C:\Documents and Settings\Админ\Application Data\drivers\downld', '*.*', true);
DeleteDirectory('C:\Documents and Settings\Админ\Application Data\drivers\downld');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи(в обычном режиме).

**kapo** · 18.12.2009, 19:45

Опять по кругу. Всё как вначале, разве только безопасный режим работает.
Файл с полиморфного АВЗ прилагаю:

**kapo** · 18.12.2009, 19:50

Извините, нашел логи полиморфного авз. Прилагаю:

**snifer67** · 18.12.2009, 19:51

Выполните скрипт из сообщения #4.

**kapo** · 18.12.2009, 20:28

1-й раз запустил - Не помогло.
Попробовал еще раз - не помогло.
Что делать?

Добавлено через 2 минуты

Интересно, а карантин-то дошел? Весит 51МБ.

**AndreyKa** · 20.12.2009, 15:48

Карантин дошел. Всё чисто.

**light59** · 21.12.2009, 10:56

А обычный AVZ с обновленными базами в безопасном режиме запускается?
Если да, то логи переделайте.
У вас там уже что-то другое сидит.
Логи делать со вставленными флешками

**kapo** · 21.12.2009, 16:52

Запустил и проверил Курит'ом, чисто. Запустил восстановление касперского. Прошло успешно, но перезагрузок не потребовало и в трее значка не появилось.
В безопасном режиме АВЗ переименованный не запускался (не является приложением win32). Перезагрузил в обычном режиме, скачал новый АВЗ, стартанул. Флешка воткнута. См. логи:

**AndreyKa** · 21.12.2009, 21:51

Отключите восстановление системы! См. Приложение 1 Правил.
Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:

Код:

begin
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\Drivers\pavboot.sys','');
 DeleteService('setup_9.0.0.722_04.12.2009_17-35[1]drv');
 DeleteService('setup_9.0.0.722_04.12.2009_17-35drv');
 DeleteService('53344122');
 DeleteService('53344121');
 DeleteService('24953692');
 DeleteService('24953691');
 DeleteService('17142222');
 DeleteService('17142221');
 DeleteService('EYMZGA');
 DeleteService('JQDPNRDOKXHSKV');
 QuarantineFile('c:\Temp\JQDPNRDOKXHSKV.exe','');
 QuarantineFile('c:\Temp\EYMZGA.exe','');
 DeleteFile('c:\Temp\EYMZGA.exe');
 DeleteFile('c:\Temp\JQDPNRDOKXHSKV.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate; 
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

**kapo** · 22.12.2009, 09:49

База обновляется с ошибкой. Карантин отправил. Лог прикладываю:

**kapo** · 22.12.2009, 20:20

Мой комп в локалке. Сейчас позвали в другой отдел. Там на компе ошибка обновления баз касперского, затем - он отключился, хотя значок в трее горит серым цветом и окно каспера пока открыто. Скачал АВЗ. Попробовал обновить там базу - тоже ошибка. Запустил проверку. Может я уже по сетке вирус раздаю?
А если отключиться, интернета не будет.

Добавлено через 10 часов 26 минут

Огромное всем спасибо. Касперского переустановил. Всё пашет. Оставил комп на проверку на ночь. Уходя, заметил 15 троянов и 1 бэгл в папке восстановления системы. Тему закрываю.

**AndreyKa** · 22.12.2009, 21:00

virusinfo_cure.zip не надо присылать.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.

**kapo** · 24.12.2009, 15:12

Елы-палы. А я уже авз стёр. Ничего же страшного, или сделать по-новой и прислать?

**AndreyKa** · 24.12.2009, 15:51

Теперь уже не чего присылать.

**CyberHelper** · 25.12.2009, 15:51

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 32
В ходе лечения вредоносные программы в карантинах не обнаружены

Помогите убить вирус BAGLE! (заявка № 64217)

Опции темы

Помогите убить вирус BAGLE!

Итог лечения

Похожие темы

Помогите убить вирус

помогите убить вирус

помогите убить вирус!

Помогите убить вирус

Помогите убить вирус : (

Метки для этой темы

Ваши права в разделе