Как удалить троян

Non-English Boards Русский
1

Здравствуйте
Уже неделю на моем компьютере свирепствует вирус троян, ни один антивирус не может с ним справиться, хотя в Интернете о нем уже есть информация

Сообщение 16.11.2011 16:55
http://forum.antichat.ru/printthread.php?t=303220&page=3&pp=10
http://forum.oszone.net/thread-218389-2.html

на форуме предложил воспользоваться каким то «AVZ Файл», но для меня это темный лес

вирус ворует данные от ftp и заражает сайты, которые становятся сами распространителями

почему аваст не в состоянии справиться с данным трояном,
можете ли вы что-нибудь сделать?

P.S. и почему служба поддержки молчит, не отвечает на мой тикет

2

1 ) скачайте
 Malwarebytes Anti-Malware обновите программу и вирусную базу, и просканируйте систему

2) UnHackMe , если эта не найдет , то не знаю

программа платная , но есть триал вам хватит находит, то что другие не видят , помогала не раз

3

Для начала сделайте лог файл вот этой утилитой и выложите в виде txt файла на форуме.

http://wiki.drweb.com/index.php/HijackThis

Это Trojan.Carberp.

Либо качайте свежый cureit http://www.freedrweb.com/cureit/?lng=ru.

Не один антивирус не может с ним справится? По подробней…чем вы пробовали?

4

спасибо, что откликнулись :slight_smile:

сделал лог Хайджеком

надеюсь, вы это имели ввиду




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:17:18, on 15.04.2012
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16968)
Boot mode: Normal
Windows folder: C:\Windows
System folder: C:\Windows\SYSTEM32
Hosts file: C:\Windows\System32\drivers\etc\hosts

Running processes:
C:\Program Files\AVAST Software\Avast\AvastUI.exe
C:\Program Files (x86)\WebMoney Agent\wmagent.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Opera\opera.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files\unrealkommander\Uncom.exe
C:\проги\11. антивирусы\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
F2 - REG:system.ini: UserInit=userinit.exe (filesize 26112 bytes, MD5 6DE80F60D7DE9CE6B8C2DDFDF79EF175)
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~2\MICROS~1\Office12\GR469A~1.DLL 

(filesize 2210608 bytes, MD5 786DD1892B553EFE5A004AC39775C851)
O2 - BHO: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll
O3 - Toolbar: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Program Files\AVAST Software\Avast

\aswWebRepIE.dll
O4 - HKLM\..\Run: [avast] "C:\Program Files\AVAST Software\Avast\avastUI.exe" /nogui
O4 - HKLM\..\Run: [wmagent.exe] "C:\Program Files (x86)\WebMoney Agent\wmagent.exe" (filesize 210400 bytes, MD5 

7275BF729E7050005328104BED942135)
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files (x86)\Microsoft Office\Office12\GrooveMonitor.exe" (filesize 31016 

bytes, MD5 38D198A2DD54A67120040566A38103BA)
O4 - Startup: _uninst_91415293.lnk = ?
O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Отправить в OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:

\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll (filesize 604000 bytes, MD5 80C412B3E7304FE87C9CDB1836F0160A)
O9 - Extra 'Tools' menuitem: &Отправить в OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:

\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll (filesize 604000 bytes, MD5 80C412B3E7304FE87C9CDB1836F0160A)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~1\Office12\REFIEBAR.DLL (filesize 

40424 bytes, MD5 7FC19DA1DC70C78D2FBD7A1D10942051)
O13 - Gopher Prefix: 
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~2\MICROS~1\Office12\GRA32A~1.DLL 

(filesize 222512 bytes, MD5 BD25E3537B54C1BFF40335992B3686FD)
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\Windows

\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exeC:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\AVAST Software\Avast\AvastSvc.exeC:\Program Files\AVAST 

Software\Avast\AvastSvc.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file 

missing)
O23 - Service: Служба Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update

\GoogleUpdate.exeC:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Служба Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Program Files (x86)\Google\Update

\GoogleUpdate.exeC:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file 

missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe 

(file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file 

missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file 

missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file 

missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file 

missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe 

(file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file 

missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat

\WatAdminSvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file 

missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem

\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files 

(x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 7217 bytes
5

Судя по логу…вроде как нет заразы…у вас как проявляется? Вы Касперским лечили?

Пуск - msconfig - вкладка Автозагрузка сделайте скрин чтобы было видно что грузится…и покажите тут.

6

Нет, касперским ещё не пробовал.
Сканировал авастом, он постоянно находит одни и те же вирусы, и ничего с ними сделать не может,

Сканировал Dr.Web CureIt, когда стояла xp, он указал, что троян в оперативной памыти win32, как то так. Начал им лечить, в итоге пришлось всю винду переустанавливать, сейчас у меня винда семерка.

Вирус ворует логии от ftp доступа к сайтам, в итоге все мои сайты заражены, разносят какой то вирус, все поисковые системы их уже заблокировали.

Администрация хостинга, где находятся сайты, требует, что бы я решил проблему, и удалил вирус с сайтов, а как я это сделаю, если троян снова все заразит.
Для начала надо очистить компьютер

Первое что мне бросается в глаза, так это папка, которая постоянно создается в корне диска, вот с таким названием«FapDTprA0Qzam0v» , и как только запускаешь filezila, в папке создаются два документа «wndsksi.inf»
Вот его содержание



E©Еу   =к ©n®l  [ZA љ…ЂЊч‘iPNќ‰d@p%TnBG\;с§“Э©н€%°»їГќЄEHoЋ™у©Ѕ В5cПЕжБ(
,:ЋьXЌ®·”»’ёUr^“•ЗЎўeog?YdaH«’ћB	Е1ШГГЏ°П№‘їіЫ®ё·е’ѓ«o”zWQm-'3hA¬Џ—а纘g@[‘Ѓ|m?%I|vQj= rбэ™јРЊ€=Я‹‹‡њ’q60ПЏ°©ЬЯБ->^cЙНрв5		пУ~ўЏ’љґЎІMZТЂдпг=_uWOY5Cз•„{_<яhЂџ„ЊЇЏµ‰њ†‘›ЎбЌњс›єhFdQ7sIBQИгЃЊћЄ–+UE”ЉawUk_|~
YВЁ‰¬ЯЪЂ°Є†‹Г­H#dлћїчЎ№Р.-t#Ш•Ч°zY/6о†d§Є™·ѕ‘“rhaѓЂн”›&QfaL{W)p®ќћI[CѕHЯЈГќЄЕИп

и

klpclst.dat



ІзтV   0x321ECF12|0xA906B3A3|0x4C3698BC|0xFE0E05F6|0x122354A9|0x210FD341|0x401ACF78|0x4A5E77CB|0x401AD638|0xA90633E3|0xAF94E063|0x5A3E8351|0x5D430DD7|0xAF78D6C9|0xD81CDFBE|0x4221943F|0xCB38E79E|0xBA10B735|0xA904F7A3|0x9975E27D|0xA52FC607|0x7600821E|0xE43C9F8D|0xC14E8364|0x3666DA3B|0x26613112|0xCF148D20|0xAF74F3A3|0x7766F336|0xB5D8F713|0x4B30AB34|0x10F60DB|0x1B30BFC7|0xB004DFB1|0x4538CF6A|0x7604021E|0xD65C60F4|0x234FD341|0x5258C726|0x62589716|0xAA02EFA3|0x473E8A23|0xD530EBF3|0x79546A10|0xA91ECF30|0x8240DA0C|0x551A9B4A|0xB638C744|0xD532FBF3|0x33CF0E3|0x4B303108|0x581CFB25|0x142CE1F1|0xA91ED660|0x25D8F303|0x44049484|0x4628EF1B|0xA9049363|0xA61AFB43|0x351CF70A|0x5008D447|0x112B70A|0x39360BAB|0xC12DF30|0x4404D1CF|0x3608EB32|0xB51CFB13|0x551EC3F3|0xA030FB12|0xA400D531|0x894A7EB1|0x5938F71A|0xB702033A|0x591CFB21|0xAB38DE0E|0x5144ACB1|0x96706BD9|0x11567AF9|0xA4584EA3|0x6FFB0D5D|0xC4C5F3B|0x28DA218A|0xA91B16B6|

аваст говорит, что ничего подозрительно в них нет

хотя на форуме
Сообщение 16.11.2011 16:55
http://forum.antichat.ru/printthread.php?t=303220&page=3&pp=10

четко сказали, что это троян

P.S. просьба модераторов, если в коде, который я указал содержаться пароли, подтереть код

7

Так…ответ вида когда у меня стояла ХР я сканировал Dr.Web CureIt это не серьезно, у вас сейчас установлена другая ОСь и другие проблемы (другой вирус). Скачивайте свежий CureIt или Dr.Web LiveCD и лечите компьютер.

http://www.freedrweb.com/livecd/how_it_works/

или

http://www.freedrweb.com/cureit/how_it_works/

По логу HJ я к сожалению ни вижу его :-.…попробуйте Dr.Web или http://www.kaspersky.ru/antivirus-removal-tool

Устанавливайте на ОСь всегда последние заплатки.

Что касаемо вашего сайта:

  1. Почистить кеш броузера.
  2. Заново по ФТП переписать все *.js файлы из бекапа.
  3. Поменять ВСЕ пароли на ФТП.

и уберите что вы указали в Code (Modify).

8

Все что вы перечислили, я уже сделал

Сегодня уже и Virus Removal Tool пробовал(он вообще ничего не заметил) и CureIt запускал, тоже ничего

Но папка то с трояном есть, и файлы в ней создаются, что вы скажите насчет её и файлов в ней?

9

Пуск - msconfig - вкладка Автозагрузка сделайте скрин чтобы было видно что грузится…и покажите тут.

http://technet.microsoft.com/ru-ru/sysinternals/bb963902 - лог этой программой сделайте

10

Вот скрин автозагрузки

http://s019.radikal.ru/i601/1204/af/668e60bd44ee.png

Действительно, на первом месте какая-то неизвестная прога, полагаю, что просто отключить её будет не достаточно

11

Это от Virus Removal Tool.

C:\Documents and Settings\Николай\Главное меню\Программы\Автозагрузка*.exe ни какого скрытого файла нет?

А вы CureIt когда сканировали?

Он лежит в C:\Documents and Settings\Имя_Пользователя\DoctorWeb\CureIt.log …прикрепите его тут

12

с .exe ничего нет

там есть скрытый только вот этот
desktop.ini

вот с этим кодом

[.ShellClassInfo]
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21787

и этот, но он не скрыт
_uninst_91415293.lnk

я не могу выложить лог CureIt, он слишком большой более 1000 страниц, браузеры выдают ошибку при загрузке в прикрепленном файле, залил на народ http://narod.ru/disk/46140353001.18f6447a99476d300ff7ea8d7e387989/CureIt.log.html

, сканировал после установки винды. сейчас скачал новый CureIt, попробую снова отсканировать

13

Снова про сканируйте и выложите новый лог так же на народ…или запакуйте.

14

malwarebytes anti-malware пробовали сканировать?потом можно Hitman’ом пройтись :wink:

15

и да как советовали выше и ниже скачайте вот эту программу и обновитесь…Malwarebytes Anti-Malware (хорошая антималварь утилита), и вы еще говорили что Аваст находит вирусы…и не может ни чего сделать…а где находит? и на что ругается?

16

Только что проверил комп свежим CureIt
Вирусов не обнаружено
Вот новый лог http://narod.ru/disk/46148046001.5bd18223292652138b854d55337836ac/CureIt.log.html

Затем проверил
Malwarebytes Anti-Malware
Он нашел только какой то фаил, который создан ещё прошлым летом
Обнаруженные файлы: 1
C:\DelUS.bat (Malware.Trace) → Помещено в карантин и успешно удалено.

Затем просканировал Hitman’ом
Все чисто

Вот какие вирусы нашел аваст

http://s019.radikal.ru/i627/1204/7a/c54544342847t.jpg

похоже, что они были в старой винде

Только, что получил письмо из яндекса, где сказано, что повторная проверка сайта не обнаружила вируса, :slight_smile: оооо какое счастье, я просто после замены винды сразу поменял сервер, заливал бекапы через ftp, похоже, что в этот раз пароли не украли.
Осталось дождаться перепроверки ещё нескольких сайтов

Может и в самом деле сейчас комп чист, тогда откуда эта папка, с какой целью она создается?

Может ли троян спать и не проявлять себя до поры до времени?

17

страно яндекс не нашел вирусов, но при захожее на сайт аваст все равно ругается

Детали заражения
URL: http://o6fu6n.fbjexfskcq.servebbs.net/g/…
Процесс: C:\Program Files (x86)\Opera\opera.exe
Инфекция: URL:Mal

Это яндекс ошибся, или у аваста информация ещё не обновилась?

18

Повторный лог HJ можно?

http://zalil.ru/33077746 - тут прога …нужно в кукисы в Опера почистить.

19

И какой у Вас сайт? Получается алерт Аваста…при заходе на ваш сайт?

20

Вот, почему-то яндекс перепроверил этот сайт первым

newsla.ru/

куки почистил
аваст все равно ругается