userini в explorer'е, wvp[цифры].exe, protect.sys

[zocs]

Здравствуйте! Ситуация началась с падения nod32 2.7 (ошибка связи с ядром), потерей связи с интернет и ошибок в локальной сети. Запустил CureIT на всех машинах - нашел несколько вирусов, но ситуация не изменилась. Запустил AVZ, он нашел userini, protect.sys - удалил вручную (не скриптом), после перезагрузки userini снова в системе, а также в автозагрузке.

Прошелся Trojan Remover - userini, wpv[цифры].exe - удалил, перезагрузил. На некоторых машинах помогло, но не на всех... wpv висит в процессах, но уже с другими цифрами, убивается вручную, но это не выход. Интернет в сети пока работает, но не знаю на долго ли. Возможно, в системе сидит еще какая-то дрянь (опыт не позволяет определить). Прошу помощи.

[PavelA]

Профиксить:

O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\protect.sys','');
 DeleteService('protect');
 DeleteFile('C:\WINDOWS\System32\Drivers\protect.sys');
QuarantineFile('C:\WINDOWS\LastGood\explorer.exe:userini.exe:$DATA ','');
DeleteFile('C:\WINDOWS\LastGood\explorer.exe:userini.exe:$DATA ');
 QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\system32\userini.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\rmhcuoud.sys','');
 DeleteService('rmhcuoud');
 QuarantineFile('C:\WINDOWS\System32\Drivers\oervadwe.sys','');
 DeleteService('oervadwe');
 QuarantineFile('C:\WINDOWS\System32\Drivers\kgeivluj.sys','');
 DeleteService('kgeivluj');
 TerminateProcessByName('c:\windows\temp\wpv281272465328.exe');
 QuarantineFile('c:\windows\temp\wpv281272465328.exe','');
 QuarantineFile('c:\windows\explorer.exe:userini.exe','');
 TerminateProcessByName('c:\windows\explorer.exe:userini.exe');
 DeleteFile('c:\windows\explorer.exe:userini.exe');
 DeleteFile('c:\windows\temp\wpv281272465328.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\kgeivluj.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\oervadwe.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\rmhcuoud.sys');
 DeleteFile('C:\WINDOWS\system32\userini.exe');
 DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторить логи.
Прислать карантин по Правилам.

[zocs]

Ваш скрипт помог, но после выполнения стандартного "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" и перезагрузки FastScan Trojan Remover'а снова фиксирует активность и wpv опять в процессах...

[thyrex]

Пофиксите в HiJack

O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\temp\wpv111272465034.exe');
QuarantineFile('C:\WINDOWS\system32\wbem\grpconv.exe','');
 DeleteFile('C:\WINDOWS\system32\wbem\grpconv.exe');
QuarantineFile('C:\WINDOWS\explorer.exe','');
  QuarantineFile('c:\windows\temp\wpv111272465034.exe','');
 DeleteFile('c:\windows\temp\wpv111272465034.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[zocs]

Выполнил. Карантин выслал оба раза по правилам (через ссылку). FastScan отмечает utuxodkz.sys

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новые логи

[PavelA]

FastScan отмечает utuxodkz.sys

Не волнуйтесь, это наш драйвер.

[zocs]

Выполнил. Может ли эта зараза распространяться по локальной сети? Или же остальные компьютеры были заражены, к примеру, через флешку? Можно ли, в моем случае, из перечисленных выше скриптов склеить один и попробовать на других машинах или все-таки для каждого компьютера отдельную тему создавать? wpv[цифры].exe присутствует на нескольких компах, так же как и protect.sys

[PavelA]

Из-за драйверов со случайными именами, которые я удалял в первом скрипте, универ. скрипт не получится.
Надо открывать новые темы для других компьютеров в сети.

На этом компьютере надо еще вот с этим protect.sys разобраться.

[thyrex]

На этом компьютере надо еще вот с этим protect.sys разобраться.

Так ведь он удален уже

[PavelA]

В последних логах запись есть:

protect
Драйвер: Выгрузить, Удалить, Отключить protect Не запущен protect.sys
Скрипт: Kарантин, Удалить, Удалить через BC System Bus Extender

ОТ: Я не на рабочем месте. Карантины не смотрю.

[thyrex]

Действительно есть...

Выполните скрипт в AVZ

begin
DeleteService('protect');
 DeleteFile('protect.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip

[zocs]

Выполнил. С остальными машинами попробую разобраться сам (было бы кстати, если бы мою заявку в "студенты" вскоре приняли). Спасибо вам за помощь. Обязательно как-нибудь отблагодарю.

[thyrex]

Чисто

Установите Internet Explorer 8 (даже если им не пользуетесь)
Обновите JavaRE

[PavelA]

было бы кстати, если бы мою заявку в "студенты" вскоре приняли

Примем. Этим у нас Ник Головко занимается.

[zocs]

Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\explorer.exe:userini.exe - Packed.Win32.Krap.x ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )
  2. c:\windows\explorer.exe:userini.exe:$data - Packed.Win32.Krap.x ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )
  3. c:\windows\lastgood\explorer.exe:userini.exe:$data - Packed.Win32.Krap.x ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )
  4. c:\windows\system32\wbem\grpconv.exe - Packed.Win32.Krap.gy ( DrWEB: Trojan.Botnetlog.158, BitDefender: Trojan.Spammer.Tedroo.CG, AVAST4: Win32:Spambot-EL [Trj] )
  5. c:\windows\temp\wpv111272465034.exe - Packed.Win32.Krap.x ( BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )
  6. c:\windows\temp\wpv281272465328.exe - Packed.Win32.Krap.x ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )