Противный Peerfrag.fd

**Sayton** · 24.11.2010, 02:10

Подключил новый провайдер интернета,после работы соединения,в среднем 5-10 минут оно обрывается,вылазиет вот такая ошибка Generic Host Process for Win32 Services - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства. и подключается только после перезагрузки компьютера,Nod32 зафиксировал Peerfrag.fd,вроде как изолирует и убивает но толку никакого.В процессах начали появляться всякие msvmiode.exe, cfdrive32.exe и процессы с набором цифр,начали сильно тормозить процессы и приложения.Логи ниже,надеюсь на помощь.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**polword** · 24.11.2010, 07:01

1.Профиксите в HijackThis

Код:

O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\cfdrive32.exe
O4 - HKLM\..\Run: [Advanced DLTHL Enable] C:\DOCUME~1\ПАШКА~1.BAT\LOCALS~1\Temp\708.exe
O4 - HKLM\..\Run: [MSODESNV7] C:\WINDOWS\system32\msvmiode.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\cfdrive32.exe

2.Отключите Системное восстановление!!! как- посмотреть можно тут
- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 SetAVZPMStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 QuarantineFile('C:\DOCUME~1\ПАШКА~1.BAT\LOCALS~1\Temp\708.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\DOCUME~1\ПАШКА~1.BAT\LOCALS~1\Temp\708.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

Обновите систему
- SP2 обновите до Service Pack 3(может потребоваться активация)
* Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
* Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3, см.тут
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут

После обновления:

- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM

**Sayton** · 25.11.2010, 03:24

Сделал всё как было указано,процессы с набором цифр пропали,остальные остались,интернет соединение не рвётся,но тормозить стало сильнее,после установки SP3 не мог зайти на сайты антивирусов и на ваш,поймал Win32.HLLW.Shadow.based ,теперь сайты грузит нормально.

**Bratez** · 25.11.2010, 05:47

Очистите временные файлы IE через Свойства обозревателя.

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\Пашка.BATA\Application Data\ltzqai.exe');
 DeleteFile('C:\WINDOWS\system32\35.exe');
 DeleteFile('C:\WINDOWS\system32\44.exe');
 DeleteFile('C:\WINDOWS\system32\63.exe');
 DeleteFile('C:\WINDOWS\system32\88.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-9438679065-1292016430-558792725-4053\syscr.exe');
DeleteFileMask('C:\Documents and Settings\Пашка\Local Settings\Temp', '*.*',true);
DeleteFileMask('C:\Documents and Settings\Пашка.BATA\Local Settings\Temp', '*.*',true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
RegKeyParamDel('HKCU', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи по правилам + лог MBAM.

**Sayton** · 25.11.2010, 23:15

Выполнил лог в AVZ.Вот логи,половина сайтов не хочет грузиться...

**polword** · 25.11.2010, 23:25

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Downloads\Архивы\Devine.zip','');
 QuarantineFile('c:\windows\cwdrive32.exe','');
 TerminateProcessByName('c:\windows\cwdrive32.exe');
 DeleteFile('c:\windows\cwdrive32.exe');
 QuarantineFile('C:\Documents and Settings\Пашка.BATA\Local Settings\Temporary Internet Files\Content.IE5\0123S5UV\isvs[1]._ ','');
 QuarantineFile('C:\Documents and Settings\Пашка\Local Settings\Temporary Internet Files\Content.IE5\KMOCPMQN\serv6[1].exe','');
 QuarantineFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.002\Local Settings\Temporary Internet Files\Content.IE5\IBG7MV0V\m000[1].exe ','');
 QuarantineFile('C:\Documents and Settings\Пашка\Local Settings\Temporary Internet Files\Content.IE5\KMOCPMQN\serv6[1].exe','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFileMask('C:\Documents and Settings\NetworkService.NT AUTHORITY.002\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
 DeleteFileMask('C:\Documents and Settings\Пашка\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
 DeleteFileMask('C:\Documents and Settings\NetworkService.NT AUTHORITY.003\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
 DeleteFileMask('C:\Documents and Settings\Пашка.BATA\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

- удалите в MBAM оставшееся из этого

Код:

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\microsoft driver setup (Worm.Palevo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\microsoft driver setup (Worm.Palevo) -> No action taken.


Зараженные файлы:
C:\Documents and Settings\NetworkService.NT AUTHORITY.002\Local Settings\Temporary Internet Files\Content.IE5\IBG7MV0V\m000[1].exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\NetworkService.NT AUTHORITY.002\Local Settings\Temporary Internet Files\Content.IE5\IBG7MV0V\ngrpysd[1].bmp (Worm.Conficker) -> No action taken.
C:\Documents and Settings\NetworkService.NT AUTHORITY.002\Local Settings\Temporary Internet Files\Content.IE5\AUXB5BRX\eetlm[1].gif (Worm.Conficker) -> No action taken.
C:\Documents and Settings\NetworkService.NT AUTHORITY.002\Local Settings\Temporary Internet Files\Content.IE5\AUXB5BRX\bllss[1].exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Пашка\Local Settings\Temporary Internet Files\Content.IE5\C9RLHR2D\schewj[1]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Пашка\Local Settings\Temporary Internet Files\Content.IE5\C9RLHR2D\isjwb[1]._ (Backdoor.Bot) -> No action taken.
C:\Documents and Settings\Пашка\Local Settings\Temporary Internet Files\Content.IE5\J6GWQKW6\bfiuefwg[1]._ (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Пашка\Local Settings\Temporary Internet Files\Content.IE5\J6GWQKW6\95dshb[1]._ (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Пашка\Local Settings\Temporary Internet Files\Content.IE5\KMOCPMQN\serv6[1].exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Пашка\Application Data\ltzqai.exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\NetworkService.NT AUTHORITY.003\Local Settings\Temporary Internet Files\Content.IE5\KT0L6L6T\m0bis[1].exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\NetworkService.NT AUTHORITY.003\Local Settings\Temporary Internet Files\Content.IE5\TW7FR2C9\bsjemhv[1].jpg (Worm.Downadup) -> No action taken.
C:\Documents and Settings\Пашка.BATA\Local Settings\Temporary Internet Files\Content.IE5\0123S5UV\isvs[1]._ (Backdoor.Bot) -> No action taken.
C:\Documents and Settings\Пашка.BATA\Local Settings\Temporary Internet Files\Content.IE5\0123S5UV\schewj[1]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Пашка.BATA\Local Settings\Temporary Internet Files\Content.IE5\NI7TC45L\schewj[1]._ (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Пашка.BATA\Local Settings\Temporary Internet Files\Content.IE5\FNJF6NZY\schewj[1]._ (Trojan.Dropper) -> No action taken.
C:\System Volume Information\_restore{ECD26E21-811B-4141-9C14-C17814B8FB68}\RP1\A0000025.exe (Backdoor.Bot) -> No action taken.
C:\FOUND.035\FILE0130.CHK (Trojan.Agent) -> No action taken.
C:\FOUND.035\FILE0287.CHK (Trojan.Agent) -> No action taken.
C:\FOUND.035\FILE0288.CHK (Trojan.Agent) -> No action taken.
C:\FOUND.035\FILE0410.CHK (Backdoor.Bot) -> No action taken.
C:\FOUND.035\FILE0411.CHK (Backdoor.Bot) -> No action taken.
C:\FOUND.035\FILE0444.CHK (Trojan.Agent) -> No action taken.
C:\FOUND.035\FILE0462.CHK (Trojan.Agent) -> No action taken.
C:\FOUND.035\FILE0463.CHK (Trojan.Agent) -> No action taken.
C:\FOUND.035\FILE0464.CHK (Trojan.Agent) -> No action taken.
C:\FOUND.035\FILE0481.CHK (Backdoor.Bot) -> No action taken.
C:\WINDOWS\cwdrive32.exe (Worm.Palevo) -> No action taken.

- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM

**Sayton** · 30.11.2010, 21:03

Здравствуйте,извините за столь долгий простой,дела семейные возникли,логи вот,карантин выложил ранее,ещё переодически появляется shadow.based который кроет доступ к сайтам антивирусов ,лечу его,всё работает,проходит время он опять появляется,вот только что в очередной раз вылечил.

**polword** · 30.11.2010, 21:17

- удалите в MBAM

Код:

Зараженные файлы:
C:\Documents and Settings\NetworkService.NT AUTHORITY.003\Local Settings\Temporary Internet Files\Content.IE5\0N522EIY\snlxj[1].bmp (Worm.Conficker) -> No action taken.
C:\Documents and Settings\NetworkService.NT AUTHORITY.003\Local Settings\Temporary Internet Files\Content.IE5\9DJ34G2X\wmzxgmt[1].gif (Worm.Downadup) -> No action taken.
C:\Documents and Settings\Пашка.BATA\Рабочий стол\avz4\avz4\Quarantine\2010-11-25\avz00003.dta (Backdoor.Bot) -> No action taken.
C:\Documents and Settings\Пашка.BATA\Рабочий стол\avz4\avz4\Quarantine\2010-11-25\avz00004.dta (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Пашка.BATA\Рабочий стол\avz4\avz4\Quarantine\2010-11-25\avz00005.dta (Trojan.Agent) -> No action taken.

- сделайте лог Combofix

**Sayton** · 11.12.2010, 18:55

в MBAM удалил,сделать лог combofix не получается,всё зависает,делал по инструкции,после 2х часов работы зависает,оставлял пару раз на ночь,тоже самое.Впринципе система работает нормально,интернет соединение не рвётся и визуально всё в норме,так что наверное можно оставить всё как есть.Огромное спасибо Вам,тем кто помогал.

**thyrex** · 11.12.2010, 20:57

Сообщение от Sayton

сделать лог combofix не получается

Попробуйте в безопасном режиме

**CyberHelper** · 12.12.2010, 20:57

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 19
В ходе лечения обнаружены вредоносные программы:
1. c:\\documents and settings\\networkservice.nt authority.002\\local settings\\temporary internet files\\content.ie5\\ibg7mv0v\\m000[1].exe - P2P-Worm.Win32.Palevo.biht ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KDV.70719, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:AutoRun-BRP [Trj] )
2. c:\\documents and settings\\пашка.bata\\local settings\\temporary internet files\\content.ie5\\0123s5uv\\isvs[1]._ - Backdoor.Win32.IRCBot.ree ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Backdoor.Bot.131030, NOD32: IRC/SdBot trojan, AVAST4: Win32:Malware-gen )
3. c:\\documents and settings\\пашка\\local settings\\temporary internet files\\content.ie5\\kmocpmqn\\serv6[1].exe - Packed.Win32.Krap.ig ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.5160134, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Malware-gen )
4. c:\\docume~1\\пашка~1.bat\\locals~1\\temp\\708.exe - Packed.Win32.Krap.ig ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.5160134, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Malware-gen )
5. c:\\downloads\\архивы\\devine.zip - Exploit.Win32.Nuker.Divine ( DrWEB: archive: Trojan.Divine, BitDefender: Trojan.Generic.2535074, NOD32: Win32/Nuker.Divine trojan )
6. c:\\windows\\cfdrive32.exe - Trojan.Win32.Jorik.SdBot.lg ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.5346417, AVAST4: Win32:Malware-gen )
7. c:\\windows\\cwdrive32.exe - Net-Worm.Win32.Kolab.niv ( DrWEB: Trojan.AVKill.3187, BitDefender: Worm.Generic.295033, AVAST4: Win32:AutoRun-BRP [Trj] )
8. c:\\windows\\system32\\msvmiode.exe - Email-Worm.Win32.Joleee.fkz ( DrWEB: Trojan.Spambot.9106, BitDefender: Trojan.Generic.5126931, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Malware-gen )

Противный Peerfrag.fd (заявка № 92316)

Опции темы

Противный Peerfrag.fd

Антивирусная помощь

Итог лечения

Похожие темы

peerfrag.fd

Win32/peerfrag.FD

Win32/Peerfrag.FD

Модифицированный Win32/Peerfrag.GR червь

вирус Win32/Peerfrag.T

Ваши права в разделе