Душит

[NordOst]

Firefox еле-еле загружает страницы.
Иногда интернет просто блокируется, панель задач трансформируется в серую и обычную.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINXP\system32\waejaprnlib.dll','');
 QuarantineFile('C:\WINXP\system32\5JQ6NNX0\J001.exe','');
 DeleteService('u7t');
 QuarantineFile('C:\WINXP\system32\D7WOQ734\F001.exe','');
 DeleteService('bdf');
 QuarantineFile('C:\WINXP\TEMP\sgqhp.dll','');
 QuarantineFile('C:\WINXP\System32\waejapsclib.dll','');
 QuarantineFile('c:\winxp\system32\waejaprnlib.dll','');
 QuarantineFile('c:\winxp\system32\5jq6nnx0\j001.exe','');
 QuarantineFile('c:\winxp\system32\d7woq734\f001.exe','');
 QuarantineFile('c:\winxp\system32\lu14g7fn\d001.exe','');
 QuarantineFile('C:\WINXP\csrsc.exe','');
 DeleteFile('C:\WINXP\csrsc.exe');
 DeleteFile('c:\winxp\system32\lu14g7fn\d001.exe');
 DeleteFile('c:\winxp\system32\d7woq734\f001.exe');
 DeleteFile('c:\winxp\system32\5jq6nnx0\j001.exe');
 DeleteFile('c:\winxp\system32\waejaprnlib.dll');
 DeleteFile('C:\WINXP\System32\waejapsclib.dll');
 DeleteFile('C:\WINXP\TEMP\sgqhp.dll');
 DeleteFile('C:\WINXP\system32\D7WOQ734\F001.exe');
 DeleteFile('C:\WINXP\system32\5JQ6NNX0\J001.exe');
 DeleteFile('C:\WINXP\system32\waejaprnlib.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[NordOst]

Странно, но когда я пытался по инструкциям Правил отправить карантин - список был пуст.
Посмотрел - карантин и правда пустой.
Наверное надо было сначала отправить карантин, а потом логи делать?

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('dbbbed60');
 QuarantineFile('C:\WINXP\system32\Mcaerfe.exe','');
 QuarantineFile('c:\winxp\system32\iexplorer.exe','');
 DeleteFile('c:\winxp\system32\ek8t3u8g\d001.exe');
 DeleteFile('c:\winxp\system32\iexplorer.exe');
 DeleteFile('C:\WINXP\system32\Mcaerfe.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[NordOst]

С интернетом проблемы все еще есть
Однако, система иногда имеет свойство намертво зависать
Карантин выслал, но как я понял - одного файла там все равно не хватает

[thyrex]

Сделайте лог ComboFix

[NordOst]

А то что в процессе firefox сбросился со стандартного браузера - нормально?

[thyrex]

c:\winxp\System32\termsrv.dll восстановите с дистрибутива http://virusinfo.info/showthread.php?t=51654

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\winxp\system32\osoaso.exe
c:\winxp\system32\koaiom.exe
c:\winxp\system32\v8010c.exe
c:\winxp\system32\fy.exe

Driver::
txstc
txstx
WaejSvc
TCPZ

Folder::
c:\winxp\system32\EK8T3U8G
c:\winxp\system32\LU14G7FN
c:\winxp\system32\KGZMW8KG
c:\winxp\system32\K3GIAJ8G
c:\winxp\system32\HDW2IJ1T
c:\winxp\system32\8KLYQJ60
c:\winxp\system32\6OSDGRJZ
c:\winxp\system32\5JQ6NNX0
c:\winxp\system32\7M61MOI6
c:\winxp\system32\7SBS21AU
c:\winxp\system32\6ZSDL2SS
c:\winxp\system32\4MJA8H3M
c:\winxp\system32\2ODILHI8
c:\winxp\system32\ZZ1GTPD5
c:\winxp\system32\W6S1LTIX
c:\winxp\system32\U70OOVFQ
c:\winxp\system32\TJS0E24Z
c:\winxp\system32\TYZCYZ5I
c:\winxp\system32\SLBFZBYO
c:\winxp\system32\SOZMWJN5
c:\winxp\system32\RRJ0ISHU
c:\winxp\system32\QPETU7EX
c:\winxp\system32\OBE4DCA7
c:\winxp\system32\LET5HM8K
c:\winxp\system32\IPH4PU3G
c:\winxp\system32\ICYZ25SH
c:\winxp\system32\GGVML2DV
c:\winxp\system32\D7WOQ734
c:\winxp\system32\8CH4KV0O
c:\winxp\system32\7QXUZJLM
c:\winxp\system32\5E1JPKMQ
c:\winxp\system32\3BYELGC7
c:\winxp\system32\1VSHWJC6
c:\winxp\system32\YLBLCIA8
c:\winxp\system32\YMNLVH0F
c:\winxp\system32\XIX7404P
c:\winxp\system32\VHLN55AP
c:\winxp\system32\SNZGVNP7
c:\winxp\system32\PVXFP0WI
c:\winxp\system32\NNPPNVU6
c:\winxp\system32\KW5AUVNL
c:\winxp\system32\KKHR6ROU
c:\winxp\system32\JT3X8EB6
c:\winxp\system32\ISZQKT6A
c:\winxp\system32\IY3I16ZX
c:\winxp\system32\IV0QKOM1
c:\winxp\system32\F4HBROEF
c:\winxp\system32\40585YV2
c:\winxp\system32\3Y02IER5
c:\winxp\system32\NU8IBXJZ
c:\winxp\system32\KC60DJ1E
c:\winxp\system32\ILETD717
c:\winxp\system32\I7VOQIQ7
c:\winxp\system32\FY0EFE53
c:\winxp\system32\C2O6Q0XZ
c:\winxp\system32\CP523BMZ
c:\winxp\system32\8M2WZ5BH
c:\winxp\system32\8T6OGJ34
c:\winxp\system32\7DNZPZEU
c:\winxp\system32\t

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"WaejSvc"=-

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[NordOst]

.

[polword]

- Восстановите файл c:\winxp\System32\termsrv.dll из дистрибутива.

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::

Driver::

NetSvc::

Folder::
c:\winxp\system32\E0UQ72XC

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.



Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[NordOst]

Скрипт выполнил.
Лог не сохранился.
Сейчас очень стала напрягать свежая нечисть -
Выключается фаерволл, загружается процессор на 100%, периодически вылетают ошибки от E001 или от D001. Еще жутко жрет траффик.

Ручками почистил реестр и совершил ряд диверсий, изменив код подозрительных exe блокнотом.
Вроде дышать стало чуточку проще.
Однако E001 и J001 остались.
ComboFix все еще отказывается делать логи.

[polword]

а в безопасном режиме?

[thyrex]

А также

Ручками почистил реестр и совершил ряд диверсий, изменив код подозрительных exe блокнотом.
Вроде дышать стало чуточку проще.
Однако E001 и J001 остались.

Причина в дырявости системы

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена

Установите SP3 (может потребоваться активация) + все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)

Сделайте лог полного сканирования МВАМ

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\winxp\\system32\\mcaerfe.exe - Trojan-GameThief.Win32.Magania.duht ( DrWEB: BackDoor.Beizhu.2245, BitDefender: Trojan.Generic.4697395, NOD32: Win32/Agent.NOV trojan, AVAST4: Win32:Malware-gen )