!!!!help Trojan.Virtumod!!!!!

**partakabin** · 16.03.2007, 00:04

здравствуйте! очень нужна ваша помощь, нашел у себя -
C:\WINDOWS\system32\fccbxvs.dll - Trojan.Virtumod (drweb)
C:\WINDOWS\system32\jkklj.dll - Trojan.Virtumod (drweb)
все очочо подтормаживает. проблемы с нетом из-за этого и с установкой програм!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Макcим** · 16.03.2007, 00:57

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\WPDShServiceObj.dll','');
 QuarantineFile('C:\WINDOWS\Downloaded Program Files\driveragent.ocx','');
 QuarantineFile('vistaui.exe','');
 QuarantineFile('fccbxvs.dll','');
 QuarantineFile('appmgmts.dll','');
 QuarantineFile('C:\WINDOWS\system32\stobject.dll','');
 QuarantineFile('C:\WINDOWS\system32\fccbxvs.dll','');
 QuarantineFile('C:\WINDOWS\system32\SHELL32.dll','');
 QuarantineFile('C:\WINDOWS\EARTHV~1.SCR','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\aaseyjj2.SYS','');
 QuarantineFile('C:\WINDOWS\widupdate.exe','');
 QuarantineFile('C:\WINDOWS\patcher.exe','');
 QuarantineFile('C:\WINDOWS\dr.exe','');
 QuarantineFile('C:\WINDOWS\user32.exe','');
 DeleteFile('C:\WINDOWS\system32\fccbxvs.dll');
 DeleteFile('C:\WINDOWS\system32\jkklj.dll');
 BC_ImportDeletedList;
 ExecuteSysClean; 
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки пришлите файлы карантина по правилам раздела "Помогите". Удалите все задания планировщика задач.
Повторите логи virusinfo_syscure.zip и hijackthis.log., а также добавьте файл 'bclr.log' из папки AVZ.

**partakabin** · 16.03.2007, 02:21

AVZ для некоторых вайлов в скрипе выкинула ошибку.
'bclr.log' - где он?, точнее подскажите пожалуйста

**Bratez** · 16.03.2007, 02:31

Файл 'boot_clr.log' должен быть в папке с программой AVZ.

**Bratez** · 16.03.2007, 03:01

Похоже, проблема решена. Пофиксите в HijackThis:

Код:

O2 - BHO: (no name) - {0F9DA0CA-01F9-4EAA-A9C4-46216502F543} - C:\WINDOWS\system32\jkklj.dll (file missing)
O2 - BHO: (no name) - {C18872E2-D171-4527-A60D-029224B10FFB} - C:\WINDOWS\system32\fccbxvs.dll (file missing)
O20 - Winlogon Notify: fccbxvs - fccbxvs.dll (file missing)
O20 - Winlogon Notify: jkklj - C:\WINDOWS\
O20 - Winlogon Notify: xpspqdvd - C:\WINDOWS\

**Кто?** · 16.03.2007, 04:42

В последнем логе ещё видно Virtumod
Выполните:

Код:

begin
SetAVZGuardStatus(True);
 ClearQuarantine;
 BC_QrFile('C:\WINDOWS\system32\nview.dll');
 BC_QrFile('fccbxvs.dll');
 BC_DeleteFile('fccbxvs.dll');
 BC_DeleteFile('C:\WINDOWS\system32\fccbxvs.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate; 
 RebootWindows(true);
end.

Прикрепите к сообщению файл boot_clr.log и отправьте новый карантин в соответствии с приложением 3 правил.

**partakabin** · 16.03.2007, 10:11

nview.dll - вроде как видео карты файл.

**Bratez** · 16.03.2007, 10:29

В последнем логе ещё видно Virtumod

Да нет, это были только ссылки в реестре на файлы, удаленные первым скриптом. Для 100% уверенности можно повторить логи п.10 и 12 правил.

**Макcим** · 16.03.2007, 11:31

partakabin, у Вас на компьютере стоит много спецефических программ. Нам нужна Ваша помощь для пополнения базы AVZ. Подробнее здесь. Спасибо!

**partakabin** · 16.03.2007, 20:31

спасибо за помощь!

**partakabin** · 16.03.2007, 23:05

сейчас вроде все норм, но инет заметно тормозит. это как нибудь связано с вирусами?

**Bratez** · 17.03.2007, 01:24

Сделайте логи п.10 и 12 правил.

**partakabin** · 17.03.2007, 19:19

вот.

**pig** · 18.03.2007, 03:55

Криминала не вижу. Интернет может тормозить и сам по себе.

**partakabin** · 18.03.2007, 08:16

еще раз спасибо! теперь я могу спать спокойно)

**Bratez** · 18.03.2007, 08:20

Сообщение от pig

Криминала не вижу. Интернет может тормозить и сам по себе.

Все было бы прекрасно, если бы не это:
'\SystemRoot\System32\Drivers\a9etz8eb.SYS'
Во всех логах есть подобное, только имена файлов разные.
Выполните такой скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\Windows\System32\Drivers\a*.SYS','');
RebootWindows(true);
end.

После перезагрузки посмотрите, что попадет в карантин.
Пришлите по правилам если не все, то хотя бы пару-тройку файлов (возможно, их окажется много).

**drongo** · 18.03.2007, 10:20

Это скорее всего проделки алкоголя 120, он удаляет и пересосздаёт один из драйверов всё время.Будет интересно если partacabin его нам пришлёт

**Bratez** · 18.03.2007, 10:32

Сообщение от drongo

Это скорее всего проделки алкоголя 120, он удаляет и пересосздаёт один из драйверов всё время.

Ну если так, тогда ладно, больше вопросов нет

**partakabin** · 18.03.2007, 19:02

дада, во время последнего лога я отключил даймон тулз, но забыл демонтировать виртуальный диск) что именно мне прислат и нужно ли делать скрипт?

**Макcим** · 18.03.2007, 19:15

Вы можете нас отблагодарить так Мы будем Вам очень благодарны!
В качестве вариантов ещё почитайте тут и тут

Отдельно поблагодарить хелперов можно повысив им рейтинг. Для этого есть кнопочка в самом низу "визитной карточки" в виде весов у сообщения хелпера.

Удачи!