avast:Слишком много идентичных электронных писем в определенное время.

[Needhelp]

Добрый вечер.Помогите,плиз,изловить "заразу"!

avast постоянно пишет(при подключении к интернету):

Слишком много идентичных электронных писем в определенное время.


1)В безопасном режиме:
при проверке компа куриетом:
-проверка идет крайне медленно,
-в какой-то момент комп уходит на перезагрузку.
при проверке AVP:
-нашел пару вирусов,удалил.
-в дальнейшем(при обычной загрузке) снова появляются указанные сообщения от аваста.

2)При дозагрузочной проверке авастом всякая гадость была обнаружена в папках system volume information и temporary internet files(что-то удалено,на что-то не было доступа).

3)Также заметил,что изменился hosts(почти до 5 мб!!!),исправил вручную,вышел в инет,все нормально,минут через 5 снова появляются сообщения
от аваста о сообщениях и изменяется hosts(вернее,сперва,Hosts меняется).
Видимо подцепил где-то чудо-рассыльщик,который теперь постоянно меняет hosts(а может и еще где гадит).

4)Аваст после загрзки системы и включения интернета выдает подозрение на malware(руткит,скрытый процесс) по адресу C:\windows\system32\winupd01.exe

5)AVZ после запуска самопроизвольно закрывался(серез 10-15 сек),до переименования оного(pereimenov.com.exe).
HijackThis тоже(скачал по вашей ссылке game.exe).После проведенной проверки("Do a system scan and save a logfile")-на секунду синее окно и перезагрузка.

На всякий случай:По браузерам-используется опера.IE установлен,но не используется совсем.

Заранее спасибо!

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\dogouwegov.exe');
 TerminateProcessByName('c:\docume~1\1\locals~1\temp\5436468 .exe');
 TerminateProcessByName('c:\windows\system32\nemibe.exe');
QuarantineFile('C:\Documents and Settings\1\Application Data\ahrg.exe','');
 QuarantineFile('C:\System Volume Information\_restore{F918BC58-45AA-4FE0-9C45-66E428BA9339}\RP128\A0062505.exe:exe.exe:$DATA','');
 QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
 QuarantineFile('C:\Windows\RUNXMLPL.exe','');
 QuarantineFile('C:\Documents and Settings\1\Application Data\yrpv.exe','');
 QuarantineFile('C:\WINDOWS\system32\gevi.exe','');
  QuarantineFile('C:\WINDOWS\system32\lidoowibou.exe','');
QuarantineFile('c:\windows\system32\winupd01.exe','');
 QuarantineFile('c:\windows\system32\nemibe.exe','');
QuarantineFile('C:\Documents and Settings\1\Application Data\zwlr.exe','');
 QuarantineFile('C:\Documents and Settings\1\Application Data\yrpv.exe,C:\Documents and Settings\1\Application Data\ahrg.exe,explorer.exe,C:\Documents and Settings\1\Application Data\zwlr.exe','');
 QuarantineFile('c:\windows\system32\dogouwegov.exe','');
 QuarantineFile('c:\docume~1\1\locals~1\temp\5436468 .exe','');
 DeleteFile('c:\docume~1\1\locals~1\temp\5436468 .exe');
 DeleteFile('c:\windows\system32\dogouwegov.exe');
 DeleteFile('C:\Documents and Settings\1\Application Data\yrpv.exe,C:\Documents and Settings\1\Application Data\ahrg.exe,explorer.exe,C:\Documents and Settings\1\Application Data\zwlr.exe');
 DeleteFile('C:\Documents and Settings\1\Application Data\zwlr.exe');
 DeleteFile('c:\windows\system32\nemibe.exe');
 DeleteFile('c:\windows\system32\winupd01.exe');
 DeleteFile('C:\WINDOWS\system32\lidoowibou.exe');
 DeleteFile('C:\WINDOWS\system32\gevi.exe');
 DeleteFile('C:\Documents and Settings\1\Application Data\yrpv.exe');
 DeleteFile('C:\Windows\RUNXMLPL.exe');
 DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
 DeleteFile('C:\System Volume Information\_restore{F918BC58-45AA-4FE0-9C45-66E428BA9339}\RP128\A0062505.exe:exe.exe:$DATA');
 DeleteFile('C:\Documents and Settings\1\Application Data\ahrg.exe');
 DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
 DeleteFile('C:\System Volume Information\_restore{F918BC58-45AA-4FE0-9C45-66E428BA9339}\RP128\A0062505.exe:exe.exe:$DATA');
 DeleteFile('C:\Documents and Settings\1\Application Data\ahrg.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gucu');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','loussupal');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','preload');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gucu');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
DeleteService('eou6gbe3yeav5o');
DeleteService('ag4yaexiwy');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(6);
ExecuteREpair(9);
ExecuteREpair(13);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1); 
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Needhelp]

Карантин прислать после выполнения скрипта?(а то я что-то поспешил)

[thyrex]

Обратите внимание, скрипт был подкорректирован.

Карантин высылать после выполнения скрипта

[Needhelp]

хорошо

Добавлено через 10 минут

выслал карантин.

Добавлено через 2 минуты

"Сделайте новые логи"
Это повторить создание AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log ?

[thyrex]

Это повторить создание

Да

[Needhelp]

Хорошо,сейчас сделаю.
Их тоже присылать?

P.S. спасибо за помощь.

[thyrex]

Их тоже присылать?

Их надо прикрепить к следующему сообщению.

[Needhelp]

ок

[Needhelp]

новые логи

[Needhelp]

thyrex,куда ж Вы удалились?

Добавлено через 47 минут

Проверил с инетом.Вроде все тихо.Hosts не изменяется,avast молчит.
Странствующий хэлпер,можно считать,что выявление и экзекуция зловреда(ов) окончена или последние присланные логи могут еще какие-нибудь гадости показать?

Что за "чудо" было?Откуда "пролезло"? Какие меры предпринять для последующего незаражения?

[thyrex]

куда ж Вы удалились?

Ну отдыхать-то надо все-таки

Что за "чудо" было?

А их много у Вас было. Net-Worm.Win32.Kolab.hoy, Packed.Win32.Krap.gy, Trojan.Win32.Agent.drcq + еще куча неизвестных зверей

Выполните скрипт в AVZ

begin
DeleteFile('C:\System Volume Information\_restore{F918BC58-45AA-4FE0-9C45-66E428BA9339}\RP128\A0064560.exe:exe.exe:$DATA');
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip

Откуда "пролезло"?

Через дыры в системе. Я думаю обновления на систему вряд ли установлены все вышедшие после SP3

[Needhelp]

syscheck

[thyrex]

Порядок

[Needhelp]

thyrex,писал Вам в личку(по Авасту и т.п.) ответьте,плиз.

[thyrex]

Выбор антивируса - дело вкуса пользователя.

Ни один разработчик антивирусных решений не дает 100% гарантии защиты

[Needhelp]

thyrex,спасибо Вам еще раз за оперативную помощь!!!!!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 41
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\1\application data\ahrg.exe - P2P-Worm.Win32.Palevo.aash ( DrWEB: Trojan.MulDrop1.12950, BitDefender: Backdoor.Tofsee.BU, AVAST4: Win32:Flot-E [Trj] )
  2. c:\documents and settings\1\application data\zwlr.exe - Net-Worm.Win32.Kolab.hoy ( DrWEB: Trojan.MulDrop.55658, BitDefender: Trojan.VB.Agent.ER, AVAST4: Win32:Rootkit-gen [Rtk] )
  3. c:\docume~1\1\locals~1\temp\5436468 .exe - Packed.Win32.Krap.gy ( DrWEB: Win32.HLLC.Asdas.3, BitDefender: Trojan.Agent.APEO, AVAST4: Win32:Malware-gen )
  4. c:\system volume information\_restore{f918bc58-45aa-4fe0-9c45-66e428ba9339}\rp128\a0062505.exe:exe.exe:$data - Trojan.Win32.Inject.aojz ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Generic.3604041, AVAST4: Win32:Rootkit-gen [Rtk] )
  5. c:\windows\system32\dogouwegov.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Crypt-GCF [Trj] )
  6. c:\windows\system32\gevi.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Crypt-GCF [Trj] )
  7. c:\windows\system32\lidoowibou.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Crypt-GCF [Trj] )
  8. c:\windows\system32\nemibe.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Crypt-GCF [Trj] )
  9. c:\windows\system32\svchost.exe:exe.exe:$data - Trojan.Win32.Agent.drcq ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Agent.APEO, AVAST4: Win32:Kates-AO [Trj] )
  10. c:\windows\system32\winupd01.exe - Backdoor.Win32.EggDrop.ana ( DrWEB: BackDoor.IRC.Bot.267, BitDefender: Backdoor.Tofsee.BS, AVAST4: Win32:Flot-E [Trj] )