Win32/Bflient.K worm

[vahabit007]

начали появляться в ноде следующие строки
19.10.2010 21:27:04 Real-time file system protection file C:\DOCUME~1\9335~1\LOCALS~1\Temp\424.exe Win32/Bflient.K worm cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\WINDOWS\Explorer.EXE.
19.10.2010 22:41:25 Real-time file system protection file C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\6DW3MZ6P\tbf[1].exe Win32/Bflient.K worm cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\WINDOWS\Explorer.EXE.
19.10.2010 21:27:04 Real-time file system protection file C:\DOCUME~1\9335~1\LOCALS~1\Temp\424.exe Win32/Bflient.K worm cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\WINDOWS\Explorer.EXE.
19.10.2010 21:27:04 Real-time file system protection file C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\YHOV2LA5\tbf[1].exe Win32/Bflient.K worm cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\WINDOWS\Explorer.EXE.

также заметил что он создает файлы с двумя цифрами в system32

просьба помочь с паразитом

[Никита Соловьев]

Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('%SYSTEM32%\??.EXE','');
 QuarantineFile('C:\WINDOWS\system32\cmdow.exe','');
 QuarantineFile('C:\WINDOWS\system32\36.exe','');
 QuarantineFile('C:\Program Files\Razer\DeathAdder\razerhid.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0564674988-2709349834-884647594-9237\syscr.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0564674988-2709349834-884647594-9237\syscr.exe');
 DeleteFile('C:\WINDOWS\system32\36.exe');
 DeleteFile('C:\WINDOWS\system32\cmdow.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip загрузите по ссылке прислать запрошенный карантин.

Сделайте новые логи

+ Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[vahabit007]

razerhid.exe не трогал т.к. это драйвер мыши Razer
добавил на карантин и удаление в скрипте еще 3 файла созданных червем в system32 35 44 78 .exe
rsit логи и обновленные с avz ниже

[vahabit007]

теперь постоянно нод ругается
20.10.2010 16:46:22 Real-time file system protection file C:\WINDOWS\system32\40.exe Win32/Peerfrag.FD worm cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\WINDOWS\System32\svchost.exe.

20.10.2010 16:51:08 Real-time file system protection file C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\23YTCNSH\f[2].exe Win32/Peerfrag.FD worm cleaned by deleting (after the next restart) - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\WINDOWS\System32\svchost.exe.

20.10.2010 16:49:30 Real-time file system protection file C:\DOCUME~1\9335~1\LOCALS~1\Temp\395.exe Win32/Bflient.K worm cleaned by deleting - quarantined NT AUTHORITY\SYSTEM Event occurred on a new file created by the application: C:\WINDOWS\Explorer.EXE.

и файлы постоянно создаются этим червем как его почистить даже не знаю.

[vahabit007]

логи

[Никита Соловьев]

Сделайте лог ComboFix

[vahabit007]

log

[vahabit007]

по прежнему каждые 5 минут попытки создания f[1].exe и 2х циферных файлов в system32

[Никита Соловьев]

Сделайте лог MBAM

[vahabit007]

лог сделал.

прошел по реестру по стандартным ключам этой заразы - пусто. видимо источник хорошо спрятан, либо есть бэкдор какой-то, который нод не в силах отловить

нод постоянно удаляет файлы

C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\KVQE2H19\f[1].exe Peerfrag.FD worm

C:\WINDOWS\system32\40.exe Peerfrag.FD worm итп

и вот еще появился новый. видимо предыдущий закачал новый вирус.
C:\WINDOWS\system32\78.scr probably a variant of Win32/Injector.DBU trojan

всё это началось вчера после проверки скорости на 5 ресурсах в интернете

[Никита Соловьев]

Новые логи AVZ

[vahabit007]

logs

[Никита Соловьев]

Очистите темп-папки. Установите SP3 + все критические обновления для ОС, иначе это никогда не кончится...

[vahabit007]

забыл отписаться, вирус исчез после повторной проверки avz но на всякий поставил sp3. всё тип топ пока что.
скорее всего вирус попал с какого-то из этих ресурсов.
speed.yoip.ru/
speed-tester.info
2ip.ru/speed

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\cmdow.exe - not-a-virus:RiskTool.Win32.HideWindows.o
  2. c:\\windows\\system32\\35.exe - P2P-Worm.Win32.Palevo.axnz ( DrWEB: Win32.HLLW.Lime.685, BitDefender: Trojan.Generic.5243187, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:MalOb-IE [Cryp] )
  3. c:\\windows\\system32\\36.exe - P2P-Worm.Win32.Palevo.axnz ( DrWEB: Win32.HLLW.Lime.685, BitDefender: Trojan.Generic.5243187, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:MalOb-IE [Cryp] )
  4. c:\\windows\\system32\\44.exe - P2P-Worm.Win32.Palevo.axnz ( DrWEB: Win32.HLLW.Lime.685, BitDefender: Trojan.Generic.5243187, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:MalOb-IE [Cryp] )
  5. c:\\windows\\system32\\78.exe - P2P-Worm.Win32.Palevo.axnz ( DrWEB: Win32.HLLW.Lime.685, BitDefender: Trojan.Generic.5243187, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:MalOb-IE [Cryp] )