Снова вирус.

@nanshakov · Регистрация: 29.01.2011

Author24 — интернет-сервис помощи студентам

Доброе утро.Словил очередной вирус,пока что это не знаю,скрывается очень хорошо,словил на чистую хр.Более подробно потом расскажу,щас убегаю.Состояние компьютера-тяжелое.

@nanshakov · 22.06.2011, 12:29 **[ТС]**

Так,вроде остановил действия вирусов.Сейчас заплатки с сайта майкрософт поставлю,и новые логи сделаю.

@~~Katharsis~~ · 22.06.2011, 12:38

И что с ним? Вообще ничего смертельного не вижу.

В логе сканирования Hijackthis отметьте:

O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

нажмите "Fix checked"

@nanshakov · 22.06.2011, 18:12 **[ТС]**

Сообщение от Katharsis

И что с ним? Вообще ничего смертельного не вижу.

Вот вырезка из вчерашнего сканирования Malwarebytes' Anti-Malware

Код

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Trojan.Agent.Gen) -> Bad: (c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe) Good: () -> Delete on reboot.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe) Good: (Explorer.exe) -> Quarantined and deleted successfully.

Заражённые папки:
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> Quarantined and deleted successfully.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413 (Worm.AutoRun) -> Quarantined and deleted successfully.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> Delete on reboot.

Заражённые файлы:
c:\documents and settings\Andy\application data\7E.tmp (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\WINDOWS\aadrive32.exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413\syitm.exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe (Trojan.Agent.Gen) -> Delete on reboot.
c:\documents and settings\Andy\application data\7D.tmp (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\documents and settings\andy\application data\ceoyoa.exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\documents and settings\Andy\cadqj.exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\documents and settings\Andy\local settings\temporary internet files\Content.IE5\4TH8RMPC\haydar[1].exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\documents and settings\Andy\local settings\temporary internet files\Content.IE5\ZJD87A4T\haydar[1].exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\0URU5SEC\z[1].exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\8BKKT9V5\z[1].exe (Trojan.Agent.Gen) -> Quarantined and deleted successfully.
c:\WINDOWS\jodrive32.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
c:\RECYCLER\s-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> Quarantined and deleted successfully.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1413\Desktop.ini (Worm.AutoRun) -> Quarantined and deleted successfully.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> Quarantined and deleted successfully.

Судя по всему,я сам справился с вирусом,часть файлов в карантине касперского,авз и он ничего в них не видят,однако это файлы,которые плодил вирус...надо на анализ скинуть в лабу.
Вот новые логи,посмотрите,все ли чисто,я образ системы сниму.

@~~Katharsis~~ · 22.06.2011, 18:26

это worm.palevo, что то припоминаю, вроде бы у вас он уже селился. Один раз завёлся - так и будет ползать, если вовремя не ставить обновления.

Сообщение от nanshakov

Вот новые логи

даже если и есть, они не покажут.

@nanshakov · 22.06.2011, 18:50 **[ТС]**

Сейчас накатил все обновления.Все нормализовалось...
worm.palevo-его вообще никак удалить нельзя,что ли,если его ничего не видит?Кстати,есть ай-пи на которые пытался подключиться вирус(Соединение от Svchost),и скачивал с него(ай-пи)тела др.вирусов(касперский обрубал это дело на корню).Эта информация может хоть как то помочь?
Да,1.5 месяца назад было такое же заражение,вирус попал в образ системы и при восстановлении начинал свое действие.Сейчас хочу создать новый образ,для этого и скинул новые логи,что бы новый образ без сюрпризов был.

@~~Katharsis~~ · 22.06.2011, 19:10

Сообщение от nanshakov

worm.palevo-его вообще никак удалить нельзя,что ли,если его ничего не видит?

я про логи, которые вы выложили, именно они не покажут, другие показывают.
Не могу победить вирус, - тот же зверь

Net-Worm
Вредоносная программа, обладающая способностью к несанкционированному пользователем саморазмножению в компьютерных сетях.

Отличительной особенностью данного типа червей является отсутствие необходимости в пользователе как в звене в цепочке распространения (т.е., непосредственно для активации вредоносной программы).

Зачастую при распространении такой червь ищет в сети компьютеры, на которых используется программное обеспечение, содержащее критические уязвимости. Для заражения уязвимых компьютеров червь посылает специально сформированный сетевой пакет (эксплойт), в результате чего код (или часть кода) червя проникает на компьютер-жертву и активируется. Если сетевой пакет содержит только часть кода червя, то после проникновения в уязвимый компьютер он скачивает основной файл червя и запускает его на исполнение.

Можно встретить сетевых червей данного типа, использующих сразу несколько эксплойтов для своего распространения, что увеличивает скорость нахождения ими компьютера-жертвы.

@nanshakov Студент :) 895 / 328 / 12 Регистрация: 29.01.2011 Сообщений: 1,679
	22.06.2011, 12:29 [ТС]	2
	Так,вроде остановил действия вирусов.Сейчас заплатки с сайта майкрософт поставлю,и новые логи сделаю. 0

@~~Katharsis~~ Заблокирован
	22.06.2011, 12:38	3
	И что с ним? Вообще ничего смертельного не вижу. В логе сканирования Hijackthis отметьте: O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file) нажмите "Fix checked" 0

@~~Katharsis~~ Заблокирован
	22.06.2011, 18:26	5
	это worm.palevo, что то припоминаю, вроде бы у вас он уже селился. Один раз завёлся - так и будет ползать, если вовремя не ставить обновления. Сообщение от nanshakov Вот новые логи даже если и есть, они не покажут. 1

@nanshakov Студент :) 895 / 328 / 12 Регистрация: 29.01.2011 Сообщений: 1,679
	22.06.2011, 18:50 [ТС]	6
	Сейчас накатил все обновления.Все нормализовалось... worm.palevo-его вообще никак удалить нельзя,что ли,если его ничего не видит?Кстати,есть ай-пи на которые пытался подключиться вирус(Соединение от Svchost),и скачивал с него(ай-пи)тела др.вирусов(касперский обрубал это дело на корню).Эта информация может хоть как то помочь? Да,1.5 месяца назад было такое же заражение,вирус попал в образ системы и при восстановлении начинал свое действие.Сейчас хочу создать новый образ,для этого и скинул новые логи,что бы новый образ без сюрпризов был. 0

@~~Katharsis~~ Заблокирован
	22.06.2011, 19:10	7
	Сообщение от nanshakov worm.palevo-его вообще никак удалить нельзя,что ли,если его ничего не видит? я про логи, которые вы выложили, именно они не покажут, другие показывают. Не могу победить вирус, - тот же зверь Net-Worm Вредоносная программа, обладающая способностью к несанкционированному пользователем саморазмножению в компьютерных сетях. Отличительной особенностью данного типа червей является отсутствие необходимости в пользователе как в звене в цепочке распространения (т.е., непосредственно для активации вредоносной программы). Зачастую при распространении такой червь ищет в сети компьютеры, на которых используется программное обеспечение, содержащее критические уязвимости. Для заражения уязвимых компьютеров червь посылает специально сформированный сетевой пакет (эксплойт), в результате чего код (или часть кода) червя проникает на компьютер-жертву и активируется. Если сетевой пакет содержит только часть кода червя, то после проникновения в уязвимый компьютер он скачивает основной файл червя и запускает его на исполнение. Можно встретить сетевых червей данного типа, использующих сразу несколько эксплойтов для своего распространения, что увеличивает скорость нахождения ими компьютера-жертвы. 1