Не получается вычистить трояны Beagle, Bagle не дает работать антивирусам

[bankomat]

1. Началось все после перезарузки. Перезагрузка не была принудительной, я сам перезагрузил, вручную. Касперский при этом работал, ничего подозрительного вроде бы не было. После запуска вырубилось сетевое соединение и перестал запускаться интернет (домашняя сеть через PPPoE). Что стало с Касперским к сожалению тогда не обратил внимание.

Перезагрузил еще раз.

2. Интернет стал работать, но я уже увидел по отсутствии логотипа, что Касперский не загружен. Все попытки запустить касперского, восстановить его через панель администратора заканчиваются провалом. Ошибка "не является приложением win32".

3. Начал действовать, согласно рекомендациям на форуме. Результат нулевой :(

Прежде всего - safe mode не входит, вылетает с синим экраном. Восстановление самыми разными способами ветки реестра про безопасный режим ни к чему не приводит. Только что восстановленная ветка удаляется автоматически прямо на глазах через пару секунд (наблюдается в регедите). Загружался с Hirens'Boot CD, восстанавливал ветку - один фиг, в сейф мод не входит, а потом уже в винде смотрю - ветки нет. Восстановление системы выключено, я его вообще никогда не включаю.

Второе. Ничего из антивирусных инструментов не устанавливается или не запускается. CureIt, AVPTool, AVZ (и полиморфный тоже, прибивается как только появляется окно), HijackThis не работают. Переименовка не помогает. В основном повторяется ошибка "не является приложением win32", но иногда дохнет просто без звука или прибивается главное окно чуть показавшись. Поэтому пока даже никаких логов не могу снять.

Интересные моменты. Вырубает браузер на ряде сайтов про антивирусы и антивирусные утилиты. Например не дает в гугле поискать слово HijackThis

4. В процессах вроде бы ничего подозрительно особого нет. Врубил виндовый брандмауер - вроде бы пашет.

5. Загрузился с DRWebовского загрузочного диска. Выполнил проверку всех винтов. Нашел Win32.HLLM.Beagle в winterms.exe и mdelk.exe, удалил. Толку нет, все тоже самое, вирусняк остался. Потом загрузился с Hiren's Boot CD в режиме мини XP и прогнал имеющимся на диске стареньким AVPTool (по-моему). Он нашел Win32.Bagle.of в нескольких файлах. Все удалил, перезагрузился - толку нет.

Посоветуйте пожалуйста что делать? Второй день долбаюсь, завтра уже рабочий неделя, работать надо а на компе эта хрень :(

P.S. Сейчас записал образ с касперского rescue диск, буду с него грузиться и прогоню еще раз все файло.

[iskander-k]

Выложите логи в соответствии с этими (http://forum.oszone.net/post-717373.html) инструкциями.

[bankomat]

Выложите логи в соответствии с этими инструкциями. »

Так я бы с удовольствием, но ни одна программа у меня не инсталлируется и не запускается :(

Второе. Ничего из антивирусных инструментов не устанавливается или не запускается. CureIt, AVPTool, AVZ (и полиморфный тоже, прибивается как только появляется окно), HijackThis не работают. Переименовка не помогает. В основном повторяется ошибка "не является приложением win32", но иногда дохнет просто без звука или прибивается главное окно чуть показавшись. Поэтому пока даже никаких логов не могу снять. »

Никакие варианты не проходят.

[bankomat]

Что же делать?

[Drongo]

Потом загрузился с Hiren's Boot CD в режиме мини XP и прогнал имеющимся на диске стареньким AVPTool (по-моему) »Нужно бы обновить утилиту и заново просканировать загрузившись с этого диска.

[bankomat]

Нужно бы обновить утилиту и заново просканировать загрузившись с этого диска. »

К сожалению, режим мини XP, который на этом диске можно запустить не имеет каких-то библиотек, которые требует обновленная утилита :(

Я сейчас пробую с него загрузится и с него прогнать AVZ и выложить сюда логи.

[bankomat]

Удалось запустить полиморфный AVZ с ключами AG=Y AM=Y

Сейчас сканирует. Только вот AVZPM не запустился, AVZ в своем логе написал, что ошибка С000009A

[snifer67]

Выполните скрипт в avz
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.
ПК перезагрузится.

Сделайте новые логи.

[bankomat]

Обновить базы AVZ не удалось потому что соответствующий пункт меню неактивный. И вот еще выдал ошибку "Ошибка AVZ Guard: C000009A".

Тем не менее, вроде бы удалось все просканировать по инструкции. Вот первые логи.

snifer67 Спасибо, сейчас буду выполнять данный скрипт.

[snifer67]

Делайте логи после моего скрипта.

[bankomat]

Делайте логи после моего скрипта. »

Готово.

[snifer67]

Выполните скрипт в avz
begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\documents and settings\alex\application data\m\flec006.exe','');
QuarantineFile('C:\WINDOWS\System32\wmdmpmsvc.dll','');
QuarantineFile('C:\WINDOWS\system32\wfsintwq.sys','');
QuarantineFile('c:\documents and settings\alex\application data\drivers\winupgro.exe','');
TerminateProcessByName('c:\documents and settings\alex\application data\drivers\winupgro.exe');
QuarantineFile('c:\windows\wintems.exe','');
TerminateProcessByName('c:\windows\wintems.exe');
DeleteFile('c:\windows\wintems.exe');
DeleteFile('c:\documents and settings\alex\application data\drivers\winupgro.exe');
DeleteFile('C:\WINDOWS\system32\wfsintwq.sys');
DeleteFile('C:\WINDOWS\System32\wmdmpmsvc.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WmdmPmSN\Parameters','Service Dll');
DeleteFile('c:\documents and settings\alex\application data\m\flec006.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
ПК перезагрузится.

Выполнить скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
quarantine.zip из папки AVZ отправьте на cherep12312345@mail.ru

Сделайте новые логи(обычным avz).

[bankomat]

snifer67 - спасибо! Уже делаю логи. Судя по всему постепенно освобождается, так как обычный AVZ действительно стал работать нормально.

Только небольшой вопрос, поймите меня правильно, только мыло какое-то странное cherep12312345@mail.ru ? А насколько я знаю, карантины надо антивирусникам отправлять?

[Drongo]

bankomat, Это хелперская электронная почта участника, который вам помогает.

[bankomat]

bankomat, Это хелперская электронная почта участника, который вам помогает. »

Ок, понял. Извиняюсь, еще раз, за излишние подозрения. Тут с этими вирусами совсем параноиком станешь :)

[bankomat]

Все сделал, карантин отправил. Новые логи снял уже с обычного AVZ (базы обновил).

[snifer67]

Выполните скрипт в avz
begin
ExecuteRepair(13);
RebootWindows(true);
end.
ПК перезагрузится.

Просканируйтесь http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/

Сделайте новый лог virusinfo_syscheck.zip и приложите к этой теме.

[bankomat]

Сделайте новый лог virusinfo_syscheck.zip и приложите к этой теме. »

Огромное спасибо за своевременную и бескорыстную помощь всем хелперам OSzone.net и большая благодарность персонально - snifer67у!

Я докачиваю понемногу последнего Касперского, поставлю его вместо снесенного вирусами старого, обновлю базы и полностью просканирую все диски уже им.

Как скан закончится, сделаю лог от AVZ (отличная программка) и выложу сюда.

Еще раз - спасибо.

[bankomat]

Нового Касперского поставил, обновил, провел полное сканирование. Нашел и вылечил массу файлов. Вирусы и трояны в основном эти:

Trojan-Downloader.Win32.Bagle.avs
rojan-Downloader.Win32.Bagle.cez
Trojan-PSW.Win32.Agent.opl
Email-Worm.Win32.Bagle.of

Сканирование AVZ - провел, вот лог.

[Drongo]

bankomat, Вот такой скрипт выполните

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\PROGRAMS\PROCESS\PROCEXP.EXE','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.

После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip Вышлите полученный файл quarantine.zip на newvirus@kaspersky.com (mailto:newvirus@kaspersky.com). Результаты ответа, сообщите здесь, в теме.