Показано с 1 по 14 из 14.

Trojan.Downloader2 (заявка № 99034)

  1. #1
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    37

    Exclamation Trojan.Downloader2

    Здравствуйте. Компьютер долгое время использовался без антивируса, теперь постоянно слетает система, решается только восстановлением ОС полностью. При проверке CureIt в безопасном режиме в папке system 32 находит файлы зараженные Trojan.Downloader2. При перемещении их в карантин комп уходит в ребут и система снова отказывает грузиться.
    Вложения Вложения
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    27.05.2009
    Сообщений
    2,655
    Вес репутации
    227
    Здравствуйте.
    Отключите:
    -ПК от интернета
    -Все защитные приложения
    -Восстановление системы
    Выполните скрипт в AVZ:
    Код:
    Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
    var
    i : integer; 
    KeyList : TStringList;
    KeyName : string;                           
    begin
    RegKeyResetSecurity(ARoot, AName);
    KeyList := TStringList.Create;
    RegKeyEnumKey(ARoot, AName, KeyList);
    for i := 0 to KeyList.Count-1 do
     begin
     KeyName := AName+'\'+KeyList[i];
     RegKeyResetSecurity(ARoot, KeyName);
     RegKeyResetSecurityEx(ARoot, KeyName);
     end;
    KeyList.Free;
    end;
    Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
    var
     i : integer;
     KeyList : TStringList;
     KeyName : string;                           
    begin
     Result := 0;
     if StopService(AServiceName) then Result := Result or 1;
     if DeleteService(AServiceName,  not(AIsSvcHosted)) then Result := Result or 2;
     KeyList := TStringList.Create;
     RegKeyEnumKey('HKLM','SYSTEM', KeyList);
     for i := 0 to KeyList.Count-1 do
      if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
       KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;                                     
       if RegKeyExistsEx('HKLM', KeyName) then begin
        Result := Result or 4;                  
        RegKeyResetSecurityEx('HKLM', KeyName);
        RegKeyDel('HKLM', KeyName);
        if RegKeyExistsEx('HKLM', KeyName) then               
         Result := Result or 8;                  
       end;
      end;                 
     if AIsSvcHosted then
      BC_DeleteSvcReg(AServiceName)
     else
      BC_DeleteSvc(AServiceName);
     KeyList.Free;
    end;
    
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
    TerminateProcessByName('c:\docume~1\user\locals~1\temp\yh835f526d.tmp');
    TerminateProcessByName('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe');
    TerminateProcessByName('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp');
    TerminateProcessByName('c:\windows\temp\m7bdab34a.tmp');
    TerminateProcessByName('c:\windows\system32\koovafeto.exe');
    TerminateProcessByName('c:\docume~1\user\locals~1\temp\gxrxaoqb81b1f456.tmp');
    TerminateProcessByName('c:\windows\temp\bstmabdy79341571.tmp');
    TerminateProcessByName('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp');
    TerminateProcessByName('c:\windows\system32\goquakib.exe');
    QuarantineFile('c:\windows\system32\goquakib.exe','');
    QuarantineFile('C:\RECYCLER\S-1-5-21-8665470365-1610415379-448131766-2538\djwi2kcew.exe','');
    QuarantineFile('C:\Documents and Settings\User\fxmdk.exe','');
    QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe','');
    QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe','');
    QuarantineFile('C:\WINDOWS\system32\zelenys.exe','');
    QuarantineFile('C:\WINDOWS\system32\quinel.exe','');
    QuarantineFile('C:\WINDOWS\system32\Drivers\yaukz.sys','');
    QuarantineFile('c:\docume~1\user\locals~1\temp\yh835f526d.tmp','');
    QuarantineFile('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe','');
    QuarantineFile('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp','');
    QuarantineFile('c:\windows\temp\m7bdab34a.tmp','');
    QuarantineFile('c:\windows\system32\koovafeto.exe','');
    QuarantineFile('c:\windows\temp\bstmabdy79341571.tmp','');
    QuarantineFile('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp','');
    DeleteFile('c:\docume~1\user\locals~1\temp\bstmabdy79341571.tmp');
    DeleteFile('c:\windows\temp\bstmabdy79341571.tmp');
    DeleteFile('c:\docume~1\user\locals~1\temp\gxrxaoqb81b1f456.tmp');
    DeleteFile('c:\windows\system32\koovafeto.exe');
    DeleteFile('c:\windows\temp\m7bdab34a.tmp');
    DeleteFile('c:\docume~1\user\locals~1\temp\m7bdab34a.tmp');
    DeleteFile('c:\documents and settings\localservice.nt authority\application data\microsoft\tazummel.exe');
    DeleteFile('c:\docume~1\user\locals~1\temp\yh835f526d.tmp');
    DeleteFile('C:\WINDOWS\system32\Drivers\yaukz.sys');
    DeleteFile('C:\WINDOWS\system32\byzouhazys.exe');
    DeleteFile('C:\WINDOWS\system32\quinel.exe');
    DeleteFile('C:\WINDOWS\system32\zelenys.exe');
    DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe');
    DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe');
    DeleteFile('C:\Documents and Settings\User\fxmdk.exe');
    DeleteFile('c:\windows\system32\goquakib.exe');
    DeleteFile('C:\RECYCLER\S-1-5-21-8665470365-1610415379-448131766-2538\djwi2kcew.exe');
    RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
    RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
    RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
    BC_ImportAll;
    ExecuteSysClean;
    BC_ServiceKill('yaukz');
    BC_DeleteSvc('iesmz9lo0o');
    BC_DeleteSvc('ifryw2exnq5');
    BC_DeleteSvc('pa0auvfa1ouxa4');
    ExecuteRepair(16);
    ExecuteWizard('TSW',2,3,true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Затем выполните ещё один скрипт:
    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
    Сделайте повторные логи.
    Сделайте лог MBAM.

  4. #3
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    37
    скрипты выполнены. Повторяю логи.
    Вложения Вложения
    Последний раз редактировалось Bratez; 08.03.2011 в 16:09.
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    27.05.2009
    Сообщений
    2,655
    Вес репутации
    227
    Отключите:
    -ПК от интернета
    -Все защитные приложения
    Подключите:
    -диск E:\
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
    TerminateProcessByName('c:\windows\system32\tazummel.exe');
    BC_DeleteFile('C:\WINDOWS\system32\zelenys.exe');
    BC_DeleteFile('c:\windows\system32\tazummel.exe');
    BC_DeleteFile('C:\WINDOWS\system32\Drivers\yaukz.sys');
    BC_DeleteFile('C:\WINDOWS\system32\koovafeto.exe');
    DeleteFile('E:\autorun.inf');
    RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    ExecuteSysClean;
    BC_DeleteSvc('yaukz');
    BC_DeleteSvc('pa0auvfa1ouxa4');
    ExecuteRepair(3);
    ExecuteRepair(4);
    ExecuteWizard('TSW',2,3,true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Сделайте повторные логи + не забудьте сделать лог MBAM.
    Последний раз редактировалось Acidorum; 08.03.2011 в 18:35. Причина: thnx Olejah

  6. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,231
    Вес репутации
    3015
    А также

    Сделайте лог http://support.kaspersky.ru/faq/?qid=208639606
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  7. #6
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    37
    Скрипты сделаны. Повторяю логи.
    P.S.Скачал MBAM,при его обновлении перестал включаться интернет и восстановился через длительное время.
    Вложения Вложения
    Последний раз редактировалось Bratez; 09.03.2011 в 14:19.
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  8. #7
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1554
    virusinfo_cure.zip - это не лог, не прикрепляйте его в тему!
    I am not young enough to know everything...

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    27.05.2009
    Сообщений
    2,655
    Вес репутации
    227
    Отключите:
    -ПК от интернета
    -Все защитные приложения
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
    QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe','');
    QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe','');
    QuarantineFile('C:\WINDOWS\system32\byzouhazys.exe','');
    BC_DeleteFile('C:\WINDOWS\system32\byzouhazys.exe');
    BC_DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\cobyd.exe');
    BC_DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\Microsoft\koovafeto.exe');
    RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
    RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','ciheriz');
    RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','logoutoo');
    BC_ImportQuarantineList;
    ExecuteSysClean;
    BC_DeleteSvc('iesmz9lo0o');
    ExecuteWizard('TSW',2,3,true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Затем выполните ещё один скрипт:
    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
    Теперь запустите TDSSKiller, просканируйтесь, к записи:
    Код:
    Заблокированный сервис(yaukz)
    примените действие "Удалить".
    Сделайте повторные логи.

  10. #9
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    37
    Скрипты выполнены.Повторяю логи.
    Вложения Вложения
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    27.05.2009
    Сообщений
    2,655
    Вес репутации
    227
    Отключите:
    -ПК от интернета
    -Все защитные приложения
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
    QuarantineFile('C:\Documents and Settings\User\Application Data\tmrlc.exe','');
    DeleteFile('C:\Documents and Settings\User\Application Data\tmrlc.exe');
    RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
    BC_ImportAll;
    ExecuteSysClean;
    ExecuteWizard('TSW',2,3,true);
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Затем выполните ещё один скрипт:
    Код:
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
    Сделайте повторные логи.

  12. #11
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,231
    Вес репутации
    3015
    Новый лог TDSSkiller тоже сделайте
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  13. #12
    Junior Member Репутация
    Регистрация
    24.10.2007
    Сообщений
    17
    Вес репутации
    37
    Скрипты выполнены.Повторяю логи.
    Вложения Вложения
    Тсс... Слышишь?.. Это мегабайты идут по проводам...

  14. #13
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    96,231
    Вес репутации
    3015
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 3
    • Обработано файлов: 53
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\cobyd.exe - Trojan.Win32.VBKrypt.bmdt ( DrWEB: Trojan.DownLoader2.7109, BitDefender: Trojan.Generic.6015852, AVAST4: Win32:Malware-gen )
      2. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\koovafeto.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
      3. c:\\documents and settings\\localservice.nt authority\\application data\\microsoft\\tazummel.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
      4. c:\\documents and settings\\user\\application data\\tmrlc.exe - P2P-Worm.Win32.Palevo.bqso ( DrWEB: Trojan.Inject.14539, BitDefender: Gen:Trojan.Heur.ZGY.5, AVAST4: Win32:Malware-gen )
      5. c:\\documents and settings\\user\\fxmdk.exe - P2P-Worm.Win32.Palevo.brcb ( DrWEB: Win32.HLLW.Autoruner.44048, BitDefender: Trojan.Generic.KDV.140814, AVAST4: Win32:Malware-gen )
      6. c:\\docume~1\\user\\locals~1\\temp\\bstmabdy793415 71.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )
      7. c:\\docume~1\\user\\locals~1\\temp\\yh835f526d.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )
      8. c:\\recycler\\s-1-5-21-8665470365-1610415379-448131766-2538\\djwi2kcew.exe - Trojan.Win32.Refroso.dbob ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.5896684, AVAST4: Win32:Inject-AFM [Trj] )
      9. c:\\windows\\system32\\goquakib.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
      10. c:\\windows\\system32\\koovafeto.exe - Trojan-Dropper.Win32.Agent.elga ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )
      11. c:\\windows\\system32\\quinel.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
      12. c:\\windows\\system32\\zelenys.exe - Trojan-Dropper.Win32.VB.awau ( DrWEB: Trojan.MulDrop1.57199, BitDefender: Trojan.Generic.6073264, AVAST4: Win32:VB-RTZ [Trj] )
      13. c:\\windows\\temp\\bstmabdy79341571.tmp - Trojan-Downloader.Win32.Agent.fvld ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )


  • Уважаемый(ая) Shagardinov, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Заражение Trojan.Downloader2 и Java Antiloader
      От Alexey_D в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 16.05.2011, 15:06
    2. Trojan.Downloader2.2012 detected (заявка №52989)
      От CyberHelper в разделе Отчеты сервиса лечения VirusInfo
      Ответов: 2
      Последнее сообщение: 08.02.2011, 11:59
    3. Ответов: 1
      Последнее сообщение: 14.11.2010, 18:32
    4. Ищу описание Trojan.Win32.Scar.Btuw, Trojan.MulDrop, Trojan.Siggen1, Trojan.PWS.Ibank
      От v119 в разделе Описания вредоносных программ
      Ответов: 1
      Последнее сообщение: 15.03.2010, 13:56
    5. Ответов: 11
      Последнее сообщение: 22.02.2009, 03:25

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01331 seconds with 17 queries