Червь вернулся!

**Vip-anton** · 07.01.2011, 15:17

Здравствуйте! Мне хелперы помогли удалить червя но через несколько дней он вернулся!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**regist** · 07.01.2011, 15:21

Vip-anton, http://virusinfo.info/showthread.php?t=1235

Сообщение от Vip-anton

но через несколько дней он вернулся!

а вы выполнили рекомендации из этого поста?!!!

**Vip-anton** · 07.01.2011, 15:26

Ну конечно!
В точности

**Никита Соловьев** · 07.01.2011, 15:36

Делайте новые логи

**Vip-anton** · 07.01.2011, 15:45

Вот новые логи

**thyrex** · 07.01.2011, 15:53

Очень сомневаюсь, что обновления, вышедшие после SP3, Вы установили

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\68.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe','');
 QuarantineFile('C:\WINDOWS\system32\60.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-9626559543-6145607227-794087674-7803\csisf.exe','');
  QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1453\sy5tm.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1453\sy5tm.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1453\sy5tm.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,explorer.exe,C:\Documents and Settings\Администратор\Application Data\ltzqai.exe,Explorer.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-9626559543-6145607227-794087674-7803\csisf.exe');
 DeleteFile('C:\WINDOWS\system32\60.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe');
 DeleteFile('C:\WINDOWS\system32\68.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог ComboFix
Сделайте лог полного сканирования МВАМ

**Vip-anton** · 07.01.2011, 15:56

по крайней мере загрузка обновления была! А установилось оно или нет я не знаю!

**regist** · 07.01.2011, 16:30

Сообщение от Vip-anton

по крайней мере загрузка обновления была! А установилось оно или нет я не знаю!

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

**polword** · 07.01.2011, 19:30

Сообщение от thyrex

Сделайте новые логи

Сделайте лог ComboFix
Сделайте лог полного сканирования МВАМ

- про эти логи не забудьте

**Vip-anton** · 08.01.2011, 17:11

Все сделал как написано, вот логи

**thyrex** · 08.01.2011, 17:18

Удалите в МВАМ

Код:

Заражённые параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Taskman (Trojan.Agent) -> Value: Taskman -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup (Trojan.Agent) -> Value: Microsoft Driver Setup -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Driver Setup (Trojan.Agent) -> Value: Microsoft Driver Setup -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Tnaww (Worm.Palevo) -> Value: Tnaww -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Worm.Palevo) -> Value: Shell -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.Palevo) -> Value: Taskman -> No action taken.

Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\Documents and Settings\Администратор\Application Data\ltzqai.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe) Good: (Explorer.exe) -> No action taken.

Заражённые файлы:
c:\RECYCLER\s-1-5-21-3233154452-5641720598-359551909-3361\csisf.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\gwdrive32.exe (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413\syitm.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\3FJTDKAL\xnmobi[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\application data\ltzqai.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temp\142.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\администратор\local settings\temp\357.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temp\37912.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\администратор\local settings\temp\48035.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temp\5771493.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temp\65206.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\администратор\local settings\temp\69776.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\администратор\local settings\temp\715.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temp\989.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\GCLB40YS\a2[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\GCLB40YS\cf95[2].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\NG6IHWWH\a1[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\NG6IHWWH\dq[1].exe (Worm.Palevo) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\bcqr00003.dat (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\avz00001.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\avz00002.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\avz00003.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\avz00004.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\avz00005.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\avz00006.dta (Worm.Palevo) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\bcqr00004.dat (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\bcqr00007.dat (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\рабочий стол\avz4\quarantine\2011-01-07\bcqr00008.dat (Trojan.Agent) -> No action taken.
c:\Qoobox\quarantine\C\documents and settings\администратор\application data\ltzqai.exe.vir (Trojan.Agent) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\17.exe.vir (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP1\A0000043.exe (Worm.Palevo) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP1\A0000045.exe (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP1\A0000046.exe (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP1\A0000048.exe (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP1\A0000050.exe (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP1\A0000053.exe (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP1\A0000055.exe (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP1\A0000057.exe (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP3\A0000748.exe (Worm.Palevo) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP5\A0001535.exe (Worm.Palevo) -> No action taken.
c:\system volume information\_restore{413bbd92-b087-4cd6-adc1-9571e665e9f9}\RP5\A0001554.exe (Worm.Palevo) -> No action taken.
c:\WINDOWS\system32\00.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\24.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\60.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\$ntservicepackuninstall$\ctfmon.exe (Trojan.Agent) -> No action taken.

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Код:

KillAll::

File::

Driver::
XDva377

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

**Vip-anton** · 08.01.2011, 21:10

Логи после удаления и лог комбофикса

**polword** · 08.01.2011, 21:53

- Удалите ComboFix

в логах чисто.

**Vip-anton** · 08.01.2011, 21:59

ну вроде и червя не видно

Добавлено через 2 минуты

Спасибо большое!!!

**CyberHelper** · 09.01.2011, 21:59

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 5
В ходе лечения обнаружены вредоносные программы:
1. c:\\documents and settings\\администратор\\application data\\ltzqai.exe - Packed.Win32.Krap.ig ( DrWEB: Win32.HLLW.Autoruner.17766, BitDefender: Trojan.Generic.KD.101467, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Trojan-gen )
2. c:\\windows\\gwdrive32.exe - Net-Worm.Win32.Kolab.qzj ( DrWEB: Trojan.DownLoader1.51577, BitDefender: Trojan.Generic.KDV.102927, NOD32: IRC/SdBot trojan, AVAST4: Win32:Trojan-gen )
3. c:\\windows\\system32\\00.exe - Worm.Win32.AutoRun.bzeq ( DrWEB: Trojan.Inject.19120, BitDefender: Worm.Generic.324924, AVAST4: Win32:Trojan-gen )
4. c:\\windows\\system32\\24.exe - Worm.Win32.AutoRun.bzeq ( DrWEB: Trojan.Inject.19120, BitDefender: Worm.Generic.324924, AVAST4: Win32:Trojan-gen )
5. c:\\windows\\system32\\60.exe - Worm.Win32.AutoRun.bzeq ( DrWEB: Trojan.Inject.19120, BitDefender: Worm.Generic.324924, AVAST4: Win32:Trojan-gen )

Червь вернулся! (заявка № 94705)

Опции темы

Червь вернулся!

Антивирусная помощь

Антивирусная помощь

Итог лечения

Похожие темы

cfdrive32 вернулся!!

SCR вирус вернулся

KIDO вернулся?

Kido вернулся? Как?

Метки для этой темы

Ваши права в разделе