Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   Malware "Internet Security 2011" (http://forum.oszone.net/showthread.php?t=193356)

langolier2001 08-12-2010 11:40 1560868
Malware "Internet Security 2011"
 
С файлообменника unibytes.com подхватил эту заразу - поддельный антивирус Internet Security 2011, конечно сам виноват, но тем не менее...
Как бы избавиться от этой напасти, запускается, вроде как, через svchost.exe (КидоКиллер выдал сообщение перед тем как "выпасть": "/\\.\globalroot\Device\svchost.exe\svchost.exe"), рубит любой ресурс, который пробует к небу подобраться, а потом блокирует исполняемый файл: HijackThis, RSIT, KidoKiller, avz4, CureIt, Malwarebytes Anti-Malware... ничто не работает, и даже в СэйфМоде... :(
PS Метод с http://www.spyware-ru.com/remove-sms...spyware-alert/ так же НЕ сработал...

icotonev 08-12-2010 12:38 1560919
Добрый день ..!Попробуйте оба:

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe на combo-fix.exe

Подробнее в "ComboFix. Руководство по применению."

langolier2001 09-12-2010 07:37 1561604
Попробовал ComboFix, хотя надежда была маленькая: единственное, что он смог сделать - это самораспаковаться в корень и больше ничего... ;(
Зловред точно запускается через svchost.exe, просматривал свойства процессов в "Process Killer" и на последнем svchost-е, prkiller сам скончался и не захотел больше запускаться.

icotonev 09-12-2010 10:54 1561697
Скачать rkill и сохранить его на рабочем столе.Эта программа будет пытаться остановить все процессы для обеспечения безопасности - временно.Запустите программу.Будьте терпеливы и ждать программа завершит свою работу.RKill - краткое введение в программу
У нас есть только одно условие - не перезагрузить компьютер..!

Тогда..:

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - нажмите "Remove Selected" (удалить выделенные.... смотрите, что удаляете). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

+

Краткие правила

langolier2001 05-01-2011 10:27 1581067
После двух с лишним недель переписки с kaspersky-911.ru, помогло единственное решение - это лечение из-под Линукса.
Причем, перепробовал лечение из-под Windows XPE, загруженной с флэшки, и Windows XP SP3, подцепил винчестер на другой компьютер: AVZ, AVPTool, CureIt ничего не обнаруживали, ESET Online scanner так же ничего не обнаруживал.
Ни одна из утилит не могла "убить" руткит "\\.\globalroot\Device\svchost.exe\svchost.exe", только Rootkit Unhooker LE смог убить этот процесс в режиме ForceKill, но процесс снова запускался (но уже с каким-то странным именем) и по прежнему действовал.

А вот лог лечения AVPTool из-пол Линукса:
Код:
Статус: Удалено  (событий: 39)       
31.12.10 10:26        Удалено        троянская программа Trojan-Ransom.Win32.PinkBlocker.bvv        C:/RECYCLER/S-1-5-18/Dc17.exe        Высокая       
31.12.10 10:27        Удалено        троянская программа Trojan-Downloader.Java.Agent.ex        C:/RECYCLER/S-1-5-18/Dc174.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Trojan-Downloader.Java.Agent.ex        C:/RECYCLER/S-1-5-18/Dc174.tmp//AppletPanel.class        Высокая       
31.12.10 10:27        Удалено        троянская программа Trojan-Downloader.Java.Agent.ex        C:/RECYCLER/S-1-5-18/Dc174.tmp//Main.class        Высокая       
31.12.10 10:27        Удалено        троянская программа Exploit.Java.Agent.v        C:/RECYCLER/S-1-5-18/Dc175.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Trojan-Downloader.Java.Agent.es        C:/RECYCLER/S-1-5-18/Dc175.tmp//AppletPanel.class        Высокая       
31.12.10 10:27        Удалено        троянская программа Exploit.Java.Agent.v        C:/RECYCLER/S-1-5-18/Dc175.tmp//Main.class        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3556.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3557.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3558.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3559.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3560.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3561.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3562.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3563.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3564.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3565.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3566.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3567.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3569.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3568.tmp        Высокая       
31.12.10 10:29        Удалено        троянская программа Trojan-Spy.Win32.Agent.blbk        C:/WINDOWS/assembly/GAC_MSIL/        Высокая       
31.12.10 10:29        Удалено        троянская программа Trojan-Spy.Win32.Agent.blbk        C:/WINDOWS/assembly/GAC_MSIL/Desktop.ini        Высокая       
31.12.10 10:29        Удалено        вирус Rootkit.Win32.Agent.bknf        C:/WINDOWS/system32/dfbb.sys        Высокая       
31.12.10 10:30        Удалено        вирус Rootkit.Win32.Agent.bknf        C:/WINDOWS/system32/eeed.sys        Высокая       
31.12.10 10:30        Удалено        вирус Rootkit.Win32.Agent.blax        C:/WINDOWS/system32/drivers/vbma0c53.sys        Высокая       
31.12.10 10:30        Удалено        вирус Rootkit.Win32.Agent.blax        C:/WINDOWS/system32/drivers/vbma0c53.zip        Высокая       
31.12.10 10:30        Удалено        вирус Rootkit.Win32.Agent.blax        C:/WINDOWS/system32/drivers/vbma0c53.zip//vbma0c53.sys        Высокая       
31.12.10 10:28        Удалено        троянская программа Trojan.Win32.PMax.l        C:/WINDOWS/WinSxS/x86_Microsoft.Windows.Shell.HWEventDetector_6595b64144ccf1df_5.2.2.3_x-ww_5390e909/shsvcs.dll        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/WINDOWS/Temp/fffad723.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/WINDOWS/Temp/fffad984.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/WINDOWS/Temp/fffadd1e.tmp        Высокая       
31.12.10 10:27        Удалено        троянская программа Packed.Win32.Krap.hx        C:/WINDOWS/Temp/fffaddca.tmp        Высокая       
31.12.10 10:28        Удалено        троянская программа Packed.Win32.Krap.hx        C:/WINDOWS/Temp/fffae00c.tmp        Высокая       
31.12.10 10:28        Удалено        троянская программа Packed.Win32.Krap.hx        C:/WINDOWS/Temp/fffae0a8.tmp        Высокая       
31.12.10 10:28        Удалено        троянская программа Packed.Win32.Krap.hx        C:/WINDOWS/Temp/fffae367.tmp        Высокая       
31.12.10 10:29        Удалено        вирус Rootkit.Win32.Agent.blax        C:/WINDOWS/maxdrive/vbma0c53.sys        Высокая       
31.12.10 10:30        Удалено        вредоносная программа HackTool.Win32.Kiser.fm        E:/shares/Install/Tools/9.0.0.1297P.rar        Средняя       
31.12.10 10:30        Удалено        вредоносная программа HackTool.Win32.Kiser.fm        E:/shares/Install/Tools/9.0.0.1297P.rar//9.0.0.1297.exe        Средняя
Интересно то, что, например, "vbma0c53.sys", загруженный из-под Windows на VirusTotal, практически никто не смог "определить": http://www.virustotal.com/file-scan/...d97-1293371511

Так что, рекомендую: http://support.kaspersky.ru/viruses/rescuedisk

PS Проблема решена, топик можно закрыть.
PSS Всех с Новым годом и не "болеть"... ;)


Время: 12:45.

Время: 12:45.
© OSzone.net 2001-