Вирус Krap и Palevo

[Михаил_83]

Эти вирусы лезут на флэшки и в расшаренные в сети папки. Вот логи.

[Михаил_83]

Добавил карантин.

[DefesT]

Отключите восстановление системы
Закройте все программы, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\RECYCLER\S-1-5-21-4510084485-1766090394-223161109-9393\sysdate.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-4510084485-1766090394-223161109-9393\sysdate.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Сделайте новые логи по правилам (virusinfo_syscheck.zip и лог mbam)

[миднайт]

+ к DefesT, у юзеров заберите их флэшки, просмотрите их с помощью total commander на предмет вредносного ПО, можете проверить их с помощью cureit. Автозапуск с флэшек отключите на всех машина в сети. Поставьте все обновления на операционные системы (скрипт по обнаружению уязвимостей вам известен).

[Михаил_83]

миднайт, Спасибо за совет. В этом ключе и действую.

Вроде остановил службу востановление системы. Сейчас проверю

[Михаил_83]

Добавляю логи. После выполнения скрипта карантин пустой. Служба востановления системы остановлена. В логах mbam будут ссылки на папки службы востановления системы, их я уже удалил на всех дисках.

[DefesT]

I:\autorun.inf - знакомый файл, если нет, прибить вручную
Удалите в mbam

Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\kr_done1 (Malware.Trace) -> No action taken.

C:\RECYCLER\S-1-5-21-4510084485-1766090394-223161109-9393\sysdate.exe (Worm.Autorun.B) -> No action taken.
C:\System Volume Information\_restore{B052A331-337C-4AE2-8B10-297C1122ABEA}\RP200\A0031100.exe (Malware.NSPack) -> No action taken.
C:\System Volume Information\_restore{B052A331-337C-4AE2-8B10-297C1122ABEA}\RP210\A0033675.exe (Malware.Packer.Gen) -> No action taken.
C:\System Volume Information\_restore{B052A331-337C-4AE2-8B10-297C1122ABEA}\RP210\A0033676.exe (Malware.Packer.Gen) -> No action taken.
C:\System Volume Information\_restore{B052A331-337C-4AE2-8B10-297C1122ABEA}\RP210\A0033677.exe (Trojan.Agent.CK) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004321.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004333.exe (Trojan.Agent) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004341.exe (Malware.Packer.Gen) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004540.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004549.exe (Malware.Packer) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004556.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004557.exe (Trojan.Agent) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004575.exe (Malware.Packer.Gen) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004576.exe (Malware.Packer) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004579.exe (Trojan.Agent) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004594.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004595.exe (Trojan.Agent) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004598.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0004617.exe (Malware.Tool) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0005020.exe (Trojan.Agent) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP12\A0005040.exe (Malware.Packer.Gen) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005286.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005798.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005824.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005857.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005859.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005897.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005904.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005921.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005929.exe (Trojan.Downloader) -> No action taken.
E:\System Volume Information\_restore{EC242024-06FC-45CC-885C-7E51636DCD68}\RP14\A0005854.exe (Trojan.Downloader) -> No action taken.
C:\WINDOWS\system32\kr_done1 (Malware.Trace) -> No action taken.

Что с проблемой?

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.20583)

Систему необходимо обновить

[Михаил_83]

На флэшки больше ничего не лезет. Вроде вылеченно. Спасибо

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\recycler\\s-1-5-21-4510084485-1766090394-223161109-9393\\sysdate.exe - Packed.Win32.Krap.y ( DrWEB: Trojan.Packed.19767, BitDefender: Trojan.Packed.Palevo.Gen.1, AVAST4: Win32:DrWal [Drp] )