Показано с 1 по 15 из 15.

Обнаружен Win32.TrojanSpy.Goldun. Не могу удалить, выключается комп. (заявка № 7450)

  1. #1
    Junior Member Репутация
    Регистрация
    10.01.2007
    Сообщений
    14
    Вес репутации
    44

    Thumbs up Обнаружен Win32.TrojanSpy.Goldun. Не могу удалить, выключается комп.

    Все признаки заражения вирусом. 7 января сидел в интернете и я и жена, а на следующий день после включения компа, и выхода в Интернет, вдруг выскочило сообщение аутпоста о том, что процесс WinLogon запрашивает соединение по протоколу ТСР с адресом 58.65.237.65. Естественно, я сразу напрягся и понял, что комп заражен. После блокировки соединения, Winlogon снова запрашивал соединения с адресами www.distripharma.fr и www.iod2006.net

    Соединения я блокировал, но вчера просмотрел логи аутпоста, в разрешенных соединениях есть соединения Internet Explorer с адресом 58.65.237.65. При каждом таком соединении исходящий трафик около 200 килобайт, входящего нет.

    8 января я скачал новые базы для AVP, для AVZ и скачал последнюю версию HijackThis, все, как в Правилах.

    Проверка Антивирусом Касперского ничего не дала, вирусы обнаружены не были.

    Выполнил проверку по скриптам AVZ, она показала подозрение на троянскую программу или кейлоггер (логи и файл из карантина прилагаются).

    Утилита HijackThis у меня не запустилась. Вообще. Ни родной файл, ни скачанный переименованный… Никак. Выдает сообщение «Приложению не удалось запуститься, поскольку MSVBVM60.dllне был найден».

    Решил проверить с помощью Ad-Awareот LavaSoft. И вот тут начались приключения. После запуска сканирования в Ad-Aware, в аутпосте выскакивает сообщение «Ad-Aware.exe изменил область памяти процесса WinLogon.exe и поэтому соединение с Интернет для него будет заблокировано» и следом за ним такие же сообщения для процессов Outpost.exe, ALG.exe, SVCHOST.exe, ABBYYNEWSREADER.exe. После этого, тестирование проходит буквально несколько секунд (от 10 до 30) и комп выключается. При этом на мониторе появляется синий экран с абракадаброй иероглифов, из которой на английском написано только WindowsLogonProcess.

    Пытался выключать Касперского, аутпост, все равно, тест идет иногда чуть дольше, иногда сразу вырубает… Единственный раз мне удалось прервать тестирование и посмотреть лог, там было обнаружено 18 записей со ссылкой на тот самый файл, который определился AVZ, его название regsd73u.dll (приложен в архиве карантинном) и был определен вирус Win32.TrojanSpy.Goldun. Больше я не смог ничего сделать, потому что с помощью Ad-Aware я не могу даже тест закончить, не говоря уж об удалении вируса.

    Подскажите, что делать. Я так понимаю, что собранная трояном инфа уже была выслана наружу. Очень не хочется переустанавливать систему…
    Вложения Вложения
    Последний раз редактировалось briand; 11.01.2007 в 17:56.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1295
    AVZ - Файл - Выполнить скрипт:
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     QuarantineFile('\C:\WINDOWS\system32\reg0x86a.sys','');
     QuarantineFile('C:\WINDOWS\system32\regsd73u.dll','');
     DeleteFile('C:\WINDOWS\system32\regsd73u.dll');
     ExecuteSysClean;
     RebootWindows(true);
    end.
    После перезагрузки пришлите карантин в соответствии с Приложением 2, начиная с пункта 5. Ссылка на тему: http://virusinfo.info/showthread.php?t=7450

  4. #3
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Numb
    Регистрация
    04.10.2005
    Сообщений
    2,118
    Вес репутации
    850
    В дополнение: Скачайте последнюю версию AVZ - 4.23 - http://z-oleg.com/avz4.zip
    И, если возможно, сделайте лог Hijackthis

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1295
    У пана VB6-рантайм отсутствует Поэтому пока обойдёмся логами AVZ. Лучше, конечно, свежей версии и со свежими базами.

  6. #5
    Junior Member Репутация
    Регистрация
    10.01.2007
    Сообщений
    14
    Вес репутации
    44
    Скрипт выполнил. Файл из карантина выслал строго в соответствии с Приложением 2. (Когда писал первый пост, то карантин высылал также, странно, что он не дошел)
    Кстати, reg0x86a.sys по скрипту не был добавлен в карантин, мне пришлось его добавлять вручную

    Спасибо.

    Hijackthis сволочь так и не хочет запускаться...

    Если нужны логи AVZ после удаления трояна, могу сделать и прислать. Нужно?

  7. #6
    Junior Member Репутация
    Регистрация
    10.01.2007
    Сообщений
    14
    Вес репутации
    44
    Выполнил скрипты по проверке после удаления трояна, прикладываю.

    Скажите, почему в обоих логах уже удаленная regsd73u.dll показана в разделе "Автозапуск"? Стартером в автозапуске ее не видно.
    Троян-то удален? Можно дальше спокойно работать?

    P.S. Удалял трояна и делал скрипты уже версией 4.23, базы от 9.01.2007.
    Вложения Вложения

  8. #7
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1295
    Главное, что злодея в памяти нет, это хорошо.
    AVZ - Сервис - Менеджер автозапуска
    Слева выбираете Winlogon, справа - regsd73u.dll, жмёте на кнопку "Удалить".

    Попробуйте, скачайте отсюда. Разверните в c:\windows\system32\ или даже положите в одну папку с HijackThis. Поможет?

  9. #8
    Junior Member Репутация
    Регистрация
    10.01.2007
    Сообщений
    14
    Вес репутации
    44
    AVZ - Сервис - Менеджер автозапуска
    Слева выбираете Winlogon, справа - regsd73u.dll, жмёте на кнопку "Удалить".
    Сделано.

    Попробуйте, скачайте отсюда... или даже положите в одну папку с HijackThis. Поможет?
    Помогло даже в одной папке с HijackThis. Новые логи привожу.

    Прошу обратить внимание, что в модулях пространства ядра всё сидит reg0x86a.sys. Это нормально?

    Также смутила строка лога HijackThis:
    O20 - Winlogon Notify: regsd73u - C:\WINDOWS\

    Простите мне мою дотошность, но уж лучше выспросить всё, чем сидеть в догадках.
    Вложения Вложения

  10. #9
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Numb
    Регистрация
    04.10.2005
    Сообщений
    2,118
    Вес репутации
    850
    Присланные файлы определяются DrWeb как Trojan.PWS.GoldSpy
    Выполните следующее: в программе Hijackthis пофиксите следующие строчки:
    Код:
    O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
    O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
    O20 - Winlogon Notify: regsd73u - C:\WINDOWS\
    Программа AVZ - файл - выполнить скрипт - выполните скрипт
    Код:
    begin
     BC_DeleteSvc('reg0x86a');
     BC_LogFile(GetAVZDirectory + 'bc.log');
     BC_Activate;
     RebootWindows(true);
    end.
    Система будет перезагружена. После перезагрузки сделайте, пожалуйста, новые логи и добавьте файл bc.log из директории AVZ. А Касперский у вас легальный? Если да, то имеет смысл перейти с 5-го на 6-й

  11. #10
    Junior Member Репутация
    Регистрация
    10.01.2007
    Сообщений
    14
    Вес репутации
    44
    Пофиксите... выполните скрипт... пришлите логи...
    Ок, вечерком попробую сделать.

    А Касперский у вас легальный? Если да, то имеет смысл перейти с 5-го на 6-й
    <Густо покраснел> К сожалению, нелегальный...

    Простите, может глупость спрошу
    А после такой операции система нормально будет работать? Не собъется ничего? А то жене нужно будет в выходные работать, ей нужно, чтобы все работало как и раньше

    Я просто не работал еще с Hijackthis... Да и AVZ пользуюсь только второй раз (но уже очень доволен ей)
    Последний раз редактировалось anton_dr; 13.01.2007 в 09:00.

  12. #11
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1295
    Не собьётся. Жить будет. Как и раньше, но без зверей

  13. #12
    Junior Member Репутация
    Регистрация
    10.01.2007
    Сообщений
    14
    Вес репутации
    44
    Итак, пофиксил, выполнил скрипт в AVZ, логи собрал, прикладываю.

    Вроде бы все сделал правильно, а вот bc.log почему-то создан не был... Поиском прогнал, не нашел его.

    Что еще нужно сделать?
    Вложения Вложения

  14. #13
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Numb
    Регистрация
    04.10.2005
    Сообщений
    2,118
    Вес репутации
    850
    Я, вроде бы, ничего не вижу больше. В системе должен был остаться драйвер от AVZ. В принципе, он не должен мешать, но если хотите его убрать - выполните: программа AVZ - пункт AVZPM - удалить драйвер расширенного мониторинга процессов. На всякий случай, если есть возможность, скачайте утилиту CureIt! - ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe
    и просканируйте машину, лучше, загрузившись в безопасном режиме.

  15. #14
    Junior Member Репутация
    Регистрация
    10.01.2007
    Сообщений
    14
    Вес репутации
    44
    В системе должен был остаться драйвер от AVZ. В принципе, он не должен мешать, но если хотите его убрать...
    Он мне не мешает абсолютно, я так понимаю, что он не блокирует работу остальных приложений, поэтому я не буду его отключать.

    На всякий случай, если есть возможность, скачайте утилиту CureIt!
    Скачал, проверил, вроде всё чисто.

    Спасибо ОГРОМНОЕ, всем! Олегу за что, что разработал классную программу, остальным за помощь оперативную и очень грамотную! О AVZ узнал случайно где-то на просторах инета, когда читал про предыдущего трояна, сидевшего еще в ноябре, скачал, проверил и удалил тогда самостоятельно, утилитка очень удобная и умная.

    P.S.: чуть позже обращусь с еще одним вопросом, в другой теме, так сказать, прояснить для себя непонятки, которые были до НГ.

  16. #15
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,224
    Вес репутации
    956

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 3
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\windows\\system32\\regsd73u.dll - Trojan-Spy.Win32.Goldun.oo (DrWEB: Trojan.PWS.GoldSpy)
      2. c:\\windows\\system32\\reg0x86a.sys - Trojan-Spy.Win32.Goldun.oo (DrWEB: Trojan.PWS.GoldSpy)


  • Уважаемый(ая) briand, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Не выключается комп
      От lexanic в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 12.05.2010, 12:47
    2. комп сам включается и выключается
      От serike в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 25.09.2009, 18:44
    3. Комп медленно включается и выключается
      От Ivan-alx в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 23.03.2009, 12:12
    4. Ответов: 8
      Последнее сообщение: 10.03.2009, 23:48
    5. комп выключается и сам включается
      От NikolayFirsov в разделе Windows для опытных пользователей
      Ответов: 7
      Последнее сообщение: 03.12.2008, 19:45

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00545 seconds with 17 queries