Еще один зараженный комп

[Тарасов Сергей]

Что делает вирус
1. Изменяет файл хост.
2. Блокирует изменение настроек сетевого подключения
3. Модифицирует диспетчер задач
4. Мониторит сетку по 445 порту, инсталит свои копии на другие компьютеры локалки. Из тех, где стоит касперский - заражения ноль, из тех, где стоит trendmicro - 100% зараженность.
5. При подключении к компу флэшки сразу копирует туда autoran.inf и две папки "scan" и "driver"
Вирсу еще делает многое другое, перечислять долго, включая блокировку хайджека и авз(хорошо хоть переименование авз помогло, с hj так не получилось)

Собсно тоже что и в предыдущей теме, только с вариациями.

[Шапельский Александр]

Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\zowozoky.exe','');
 QuarantineFile('C:\WINDOWS\system32\userini.exe','');
 QuarantineFile('C:\Documents and Settings\NetworkService\jftgs.exe','');
 QuarantineFile('C:\Documents and Settings\Latyshkova\gakd.exe','');
 QuarantineFile('C:\Documents and Settings\Latyshkova\Application Data\szywo.exe','');
 QuarantineFile('C:\Cookie.bat','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\xfdagnyv.sys','');
 DeleteService('xfdagnyv');
 QuarantineFile('C:\WINDOWS\System32\Drivers\xerbacpz.sys','');
 DeleteService('xerbacpz');
 QuarantineFile('C:\WINDOWS\System32\Drivers\vybppluf.sys','');
 DeleteService('vybppluf');
 QuarantineFile('C:\WINDOWS\System32\Drivers\utowkuiw.sys','');
 DeleteService('utowkuiw');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ohbwnnag.sys','');
 DeleteService('ohbwnnag');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ocqoqvls.sys','');
 DeleteService('ocqoqvls');
 QuarantineFile('C:\WINDOWS\System32\Drivers\mbusseff.sys','');
 DeleteService('mbusseff');
 QuarantineFile('C:\WINDOWS\System32\Drivers\djsewtua.sys','');
 DeleteService('djsewtua');
 QuarantineFile('c:\windows\system32\winupd01.exe','');
 TerminateProcessByName('c:\windows\system32\winupd01.exe');
 QuarantineFile('c:\windows\explorer.exe:userini.exe','');
 TerminateProcessByName('c:\windows\explorer.exe:userini.exe');
 DeleteFile('c:\windows\explorer.exe:userini.exe');
 DeleteFile('c:\windows\system32\winupd01.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\djsewtua.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\mbusseff.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ocqoqvls.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ohbwnnag.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\utowkuiw.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\vybppluf.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\xerbacpz.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\xfdagnyv.sys');
 DeleteFile('C:\Cookie.bat');
 DeleteFile('C:\Documents and Settings\Latyshkova\Application Data\szywo.exe');
 DeleteFile('C:\Documents and Settings\Latyshkova\gakd.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
 DeleteFile('C:\Documents and Settings\NetworkService\jftgs.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
 DeleteFile('C:\WINDOWS\system32\userini.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
 DeleteFile('C:\WINDOWS\system32\zowozoky.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','voudammou');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(11);
Executerepair(12);
Executerepair(17);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[Тарасов Сергей]

Логи авз прикрепил.

[Шапельский Александр]

Лог Hijack пробовали сделать, если нет, пробуйте.

[Тарасов Сергей]

Пробовал, извините что не написал сразу. Не открывается. Точнее открывается но на процессе сканирования - вылетает.

[Шапельский Александр]

Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\$NtServicePackUninstall$\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('C:\System Volume Information\_restore{D4214EA3-7D0D-4B40-8703-6151EBBD56B7}\RP196\A0011676.exe:userini.exe:$DATA','');
 QuarantineFile('C:\System Volume Information\_restore{D4214EA3-7D0D-4B40-8703-6151EBBD56B7}\RP196\A0014875.exe:userini.exe:$DATA','');
 QuarantineFile('c:\windows\system32\winupd01.exe','');
 TerminateProcessByName('c:\windows\system32\winupd01.exe');
 DeleteFile('c:\windows\system32\winupd01.exe');
 DeleteFile('C:\System Volume Information\_restore{D4214EA3-7D0D-4B40-8703-6151EBBD56B7}\RP196\A0014875.exe:userini.exe:$DATA');
 DeleteFile('C:\System Volume Information\_restore{D4214EA3-7D0D-4B40-8703-6151EBBD56B7}\RP196\A0011676.exe:userini.exe:$DATA');
 DeleteFile('C:\WINDOWS\$NtServicePackUninstall$\explorer.exe:userini.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
Executerepair(12);
Executerepair(13);
BC_Activate;
RebootWindows(true);
end.

закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[Тарасов Сергей]

Карантин загружен, логи прикреплены.

[polword]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\zowozoky.exe');
 DeleteFile('c:\windows\system32\zowozoky.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','voudammou');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(9);
BC_DeleteFile('c:\windows\system32\zowozoky.exe');
 BC_Activate;
  RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

[Тарасов Сергей]

логи прикрепил.

[Шапельский Александр]

Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\zowozoky.exe','');
 QuarantineFile('c:\windows\system32\vifoubequo.exe','');
 TerminateProcessByName('c:\windows\system32\vifoubequo.exe');
 DeleteService('zqlecfuuocg4kh');
 DeleteFile('c:\windows\system32\vifoubequo.exe');
 DeleteFile('C:\WINDOWS\system32\zowozoky.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','voudammou');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Сделайте новый лог virusinfo_syscheck.zip

[Тарасов Сергей]

Лог прикрепил, карантин тоже.

[polword]

- Выполните скрипт в AVZ

begin
 ExecuteWizard('TSW', 2, 2, true);
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторныЙ лог virusinfo_syscheck.zip;

[Тарасов Сергей]

Лог прикрепил.

[polword]

тут чисто.

Делайте логи с других машин и в новые темы- будем лечить

[Тарасов Сергей]

Спасибо большое. Горящая машинка осталась пока одна, а вот завтра еще штук 10 нужно. Сейчас по горящей наклепаю логов. Тут закройте пожалуйста.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 36
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\latyshkova\application data\szywo.exe - Backdoor.Win32.EggDrop.aod ( DrWEB: Trojan.MulDrop.55658, BitDefender: Gen:Trojan.Heur.Hype.hGW@amU1HPp, AVAST4: Win32:Flot-E [Trj] )
  2. c:\documents and settings\latyshkova\gakd.exe - Trojan.Win32.Agent.droq ( DrWEB: BackDoor.Tofsee, BitDefender: Trojan.Generic.3626722, AVAST4: Win32:Malware-gen )
  3. c:\documents and settings\networkservice\jftgs.exe - Trojan.Win32.Agent.droq ( DrWEB: BackDoor.Tofsee, BitDefender: Trojan.Generic.3626722, AVAST4: Win32:Malware-gen )
  4. c:\system volume information\_restore{d4214ea3-7d0d-4b40-8703-6151ebbd56b7}\rp196\a0011676.exe:userini.exe:$data - Trojan-Dropper.Win32.Agent.bvsb ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Spammer.Tedroo.CD, AVAST4: Win32:Rootkit-gen [Rtk] )
  5. c:\system volume information\_restore{d4214ea3-7d0d-4b40-8703-6151ebbd56b7}\rp196\a0014875.exe:userini.exe:$data - Trojan-Dropper.Win32.Agent.bvsb ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Spammer.Tedroo.CD, AVAST4: Win32:Rootkit-gen [Rtk] )
  6. c:\windows\$ntservicepackuninstall$\explorer.exe:u serini.exe:$data - Trojan-Dropper.Win32.Agent.bvsb ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Spammer.Tedroo.CD, AVAST4: Win32:Rootkit-gen [Rtk] )
  7. c:\windows\system32\userini.exe - Trojan-Dropper.Win32.Agent.bvsb ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Spammer.Tedroo.CD, AVAST4: Win32:Rootkit-gen [Rtk] )
  8. c:\windows\system32\winupd01.exe - Net-Worm.Win32.Kolab.hrr ( DrWEB: BackDoor.IRC.Bot.267, BitDefender: Trojan.Inject.VB.AM, AVAST4: Win32:Malware-gen )
  9. c:\windows\system32\zowozoky.exe - Trojan-Dropper.Win32.Vidro.am ( DrWEB: Trojan.Packed.19930, AVAST4: Win32:Crypt-GCF [Trj] )
  10. f:\autorun.inf - Trojan.Win32.AutoRun.afj ( NOD32: INF/Autorun.gen trojan )
  11. f:\driver\drivers1.exe - Backdoor.Win32.EggDrop.aod ( DrWEB: Trojan.MulDrop.55658, BitDefender: Gen:Trojan.Heur.Hype.hGW@amU1HPp, AVAST4: Win32:Flot-E [Trj] )