Показано с 1 по 11 из 11.

Вирус-перехватчик антивирусных сайтов и клавиатуры (?) (заявка № 84424)

  1. #1
    Junior Member Репутация
    Регистрация
    01.01.2009
    Сообщений
    19
    Вес репутации
    56

    Thumbs up Вирус-перехватчик антивирусных сайтов и клавиатуры (?)

    Добрый день,

    Помогите, пожалуйста. Деинсталлировал сегодня демо-антивирус с тем, чтобы завтра купить полный, увлекся и залез на мусорный сайт и скачал *.doc-файл - хорошую книгу. Подозрение на вирус возникло, когда после перезагрузки упал explorer.exe. Решил установить антивирус, и понял что подцепил вирус. Drweb зависал при установке на операции "быстрая проверка системы" (то есть в течении >30-ти минут висело окно), cureit.exe после старта вис.
    Перестали открываться сайты kaspersky.ru, *drweb.com, virusinfo.info, и, как потом выяснилось, z-oleg.com (если он был жив вечером 02.08.10). Файл hosts нормальный - одна строка как обычно.

    Так же, в реестре HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    параметр Userinit содержит вот это:
    "C:\\WINDOWS\\system32\\userinit.exe,C:\\WINDOWS\\ system32\\ba7b13e4.exe,C:\\WINDOWS\\system32\\bmxo vr.exe,"
    При ручном изменении этого параметра, нажатии ОК и F5 он опять становится прежним с указанным выше мусором.

    Восстановление системы отключил.
    Логи прикладываю. Помогите, пожалуйста.
    Последний раз редактировалось Aleshka; 02.08.2010 в 23:54.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    15.02.2009
    Сообщений
    13,205
    Вес репутации
    955
    Логи сделаны устаревшей версией AVZ. Скачайте последнюю (4.34) и переделайте

  4. #3
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    550
    если с сайта не получится, скачайте отсюда, распакуйте и сделайте новые логи

  5. #4
    Junior Member Репутация
    Регистрация
    01.01.2009
    Сообщений
    19
    Вес репутации
    56

    Сделал

    Добрый вечер,

    Снял все логи заново, посмотрите, пожалуйста.

  6. #5
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    550
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
     QuarantineFile('C:\WINDOWS\system32\bmxovr.exe','');
     QuarantineFile('C:\WINDOWS\system32\ba7b13e4.exe','');
     DeleteFile('C:\WINDOWS\system32\ba7b13e4.exe');
     DeleteFile('C:\WINDOWS\system32\bmxovr.exe');
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteRepair(20);
     ExecuteWizard('TSW', 2, 2, true);
     ExecuteWizard('SCU', 2, 2, true);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
    - Скачайте RSIT тут. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
    - Сделайте лог Gmer

  7. #6
    Junior Member Репутация
    Регистрация
    01.01.2009
    Сообщений
    19
    Вес репутации
    56
    Все сделал, кроме файла quarantine.zip - он пустой, и весит 22 байта. При попытке загрузить quarantine.zip сайт ругается - ошибка - данный файл уже был загружен - как то так.

    В реестре параметр usrint после перезагрузки по прежнему содержит C:\WINDOWS\system32\bmxovr.exe, хотя параметр Userinit стал таким:
    C:\WINDOWS\System32\userinit.exe,
    и антивирусные сайты стали открываться.
    Следующим сообщением прикреплю логи Gmer, а то больше 4х файлов не дает прикрепить за раз.

    Gmer, кстати, при запуске ругался "..found system modification...ROOTKIT activity". Я согласился на скан.
    Последний раз редактировалось Aleshka; 03.08.2010 в 23:39.

  8. #7
    Junior Member Репутация
    Регистрация
    01.01.2009
    Сообщений
    19
    Вес репутации
    56
    Gmer после скана выдал сообщение, что "GMER has system modification caused by ROOTKIT activity".

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    550
    Сохраните текст ниже как 1.bat в ту же папку, где находится 73b7yumc.exe (GMER) и запустите этот батник(1.bat):
    Код:
    73b7yumc.exe -del service pykoucxx 
    73b7yumc.exe -del file "C:\WINDOWS\system32\onrkjr.dll"
    73b7yumc.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\pykoucxx "
    73b7yumc.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\pykoucxx "
    73b7yumc.exe -del reg "HKLM\SYSTEM\ControlSet005\Services\pykoucxx "
    73b7yumc.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\pykoucxx "
    73b7yumc.exe -reboot
    Компьютер перезагрузится.

    После перезагрузки:
    - Сделайте повторный лог virusinfo_syscheck.zip;

  10. #9
    Junior Member Репутация
    Регистрация
    01.01.2009
    Сообщений
    19
    Вес репутации
    56

    Готово

    Выкладываю лог.

    Батник выдавал ошибки начиная со второй строки - при удалении dll, и дальше при удалении ключей реестра.

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    550
    В логе чисто.

    Обновите систему
    - Установите Internet-Explorer 8.(даже если Вы его не используете)
    - Поставте все последние обновления системы Windows - тут
    - Обновите Java .

    После обновления:
    - Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
    Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
    Перезагрузите компьютер.
    Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
    На этом можно считать лечение законченным.

  12. #11
    Junior Member Репутация
    Регистрация
    01.01.2009
    Сообщений
    19
    Вес репутации
    56
    Половину последних рекомендаций вчера выполнил, скрипт про уязвимости еще планирую сделать.
    Огромное спасибо Вам за помощь!

  • Уважаемый(ая) Aleshka, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Перехват клавиатуры (и м.б. траффика)
      От Helen-Bol в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 14.06.2010, 18:27
    2. работает перехватчик клавиатуры
      От aka.ksenia в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 27.04.2010, 12:46
    3. перехват клавиатуры, дисконект
      От Zain в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 22.09.2009, 09:39
    4. перехватчик клавиатуры
      От iksiks в разделе Антивирусы
      Ответов: 1
      Последнее сообщение: 24.08.2009, 12:33
    5. Перехватчик клавиатуры (?)
      От Udav в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 03.07.2008, 15:49

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00896 seconds with 17 queries