Обнаружено Trojan Downloader

[Blu Ray 0]

Добрый Вечер! KIS 2012 обнаружил Trojan - Downloader.BAT.Ftp.z

проверте пожалуйста логи

virusinfo_syscure.zip

virusinfo_syscheck.zip

info.txt

log.txt

Изменено 24 марта, 2013 пользователем Blu Ray

[Roman_Five 598]

KIS 2012 обнаружил Trojan - Downloader.BAT.Ftp.z

удалил?

 

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\117\Application Data\poclbm\*.*','');
DeleteFile('C:\Documents and Settings\117\Главное меню\Программы\Автозагрузка\poclbm.lnk');
DeleteFileMask('C:\Documents and Settings\117\Application Data\poclbm\','*.*',true,' ');
DeleteDirectory('C:\Documents and Settings\117\Application Data\poclbm\',' ');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Для создания архива с карантином выполните скрипт:

begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.

Отправьте на проверку файл Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).

Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.

В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).

В строке "Электронный адрес:" укажите адрес своей электронной почты.

Полученный ответ сообщите в этой теме.

 

Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

O2 - BHO: (no name) - AutorunsDisabled - (no file)
O4 - Startup: poclbm.lnk = C:\Documents and Settings\117\Application Data\poclbm\t2.vbs
O9 - Extra button: (no name) - AutorunsDisabled - (no file)

 

Исправьте через AVZ -> Файл -> Мастер поиска и устранения проблем -> Все проблемы -> отметить указанное -> Исправить

>>  Обнаружены опасные расширения в списке типов файлов, не представляющих угрозы
>>  Повреждены настройки SafeBoot

 

Сделайте новые логи по правилам.

+

Скачайте Malwarebytes' Anti-Malware здесь или здесь.

Установите mbam-setup-<current number>.exe

Откажитесь от использования пробной версии Malwarebytes' Anti-Malware PRO (снимите галочку с пункта "Включить бесплатный тестовый период Malwarebytes Anti-Malware PRO "подробнее...").

Выберите "Perform Full Scan/Полное сканирование", нажмите "Scan/Сканирование", после сканирования - Ok - "Show Results/Показать результаты".

Полученный лог прикрепите к сообщению.

 

Сделайте лог AdwCleaner

http://safezone.cc/forum/showthread.php?t=19726

[Blu Ray 0]

Здравствуйте,

 

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит антивирус с последними обновлениями. Письмо будет передано на рассмотрение вирусному аналитику. Если Вы являетесь Лицензионным пользователем продуктов Лаборатории Касперского, рекомендуем Вам воспользоваться личным кабинетом для отправки файлов на проверку в вирусную лабораторию: https://my.kaspersky.com/ru/support/viruslab. Данная возможность была специально предусмотрена для удобства Лицензионных Пользователей наших продуктов. Если Вы не являетесь Лицензионным пользователем продуктов Лаборатории Касперского, Вы можете воспользоваться формой : http://support.kaspersky.ru/virlab/helpdesk.html для отправки файла на проверку в вирусную лабораторию. Запросы на проверку файлов, отправленные не с перечисленных выше форм, будут обработаны в порядке очереди.

 

Раскрывающийся текст:

bz2.pyd,

avz00002.dta._abcoll.pyo,

avz00002.dta._ctypes.pyo,

avz00002.dta._future_.pyo,

avz00002.dta._hashlib.pyo,

avz00002.dta._LWPCookieJar.pyo,

avz00002.dta._MozillaCookieJar.pyo,

avz00002.dta._socket.pyo,

avz00002.dta._ssl.pyo,

avz00002.dta._strptime.pyo,

avz00002.dta._threading_local.pyo,

avz00002.dta.abc.pyo,

avz00002.dta.atexit.pyo,

avz00002.dta.base64.pyo,

avz00002.dta.BaseHTTPServer.pyo,

avz00002.dta.bdb.pyo,

avz00002.dta.bisect.pyo,

avz00002.dta.BitcoinMiner.pyo,

avz00002.dta.bz2.pyo,

avz00002.dta.calendar.pyo,

avz00002.dta.cmd.pyo,

avz00002.dta.codecs.pyo,

avz00002.dta.collections.pyo,

avz00002.dta.compiler._init_.pyo,

avz00002.dta.compiler.ast.pyo,

avz00002.dta.compiler.consts.pyo,

avz00002.dta.compiler.future.pyo,

avz00002.dta.compiler.misc.pyo,

avz00002.dta.compiler.pyassem.pyo,

avz00002.dta.compiler.pycodegen.pyo,

avz00002.dta.compiler.symbols.pyo,

avz00002.dta.compiler.syntax.pyo,

avz00002.dta.compiler.transformer.pyo,

avz00002.dta.compiler.visitor.pyo,

avz00002.dta.cookielib.pyo,

avz00002.dta.copy.pyo,

avz00002.dta.copy_reg.pyo,

avz00002.dta.ctypes._endian.pyo,

avz00002.dta.ctypes._init_.pyo,

avz00002.dta.decimal.pyo,

avz00002.dta.difflib.pyo,

avz00002.dta.dis.pyo,

avz00002.dta.doctest.pyo,

avz00002.dta.dummy_thread.pyo,

avz00002.dta.dummy_threading.pyo,

avz00002.dta.email._init_.pyo,

avz00002.dta.email._parseaddr.pyo,

avz00002.dta.email.base64mime.pyo,

avz00002.dta.email.charset.pyo,

avz00002.dta.email.encoders.pyo,

avz00002.dta.email.errors.pyo,

avz00002.dta.email.feedparser.pyo,

avz00002.dta.email.generator.pyo,

avz00002.dta.email.header.pyo,

avz00002.dta.email.iterators.pyo,

avz00002.dta.email.message.pyo,

avz00002.dta.email.mime._init_.pyo,

avz00002.dta.email.parser.pyo,

avz00002.dta.email.quoprimime.pyo,

avz00002.dta.email.utils.pyo,

avz00002.dta.encodings._init_.pyo,

avz00002.dta.encodings.aliases.pyo,

avz00002.dta.encodings.ascii.pyo,

avz00002.dta.encodings.base64_codec.pyo,

avz00002.dta.encodings.big5.pyo,

avz00002.dta.encodings.big5hkscs.pyo,

avz00002.dta.encodings.bz2_codec.pyo,

avz00002.dta.encodings.charmap.pyo,

avz00002.dta.encodings.cp037.pyo,

avz00002.dta.encodings.cp1006.pyo,

avz00002.dta.encodings.cp1026.pyo,

avz00002.dta.encodings.cp1140.pyo,

avz00002.dta.encodings.cp1250.pyo,

avz00002.dta.encodings.cp1251.pyo,

avz00002.dta.encodings.cp1252.pyo,

avz00002.dta.encodings.cp1253.pyo,

avz00002.dta.encodings.cp1254.pyo,

avz00002.dta.encodings.cp1255.pyo,

avz00002.dta.encodings.cp1256.pyo,

avz00002.dta.encodings.cp1257.pyo,

avz00002.dta.encodings.cp1258.pyo,

avz00002.dta.encodings.cp424.pyo,

avz00002.dta.encodings.cp437.pyo,

avz00002.dta.encodings.cp500.pyo,

avz00002.dta.encodings.cp737.pyo,

avz00002.dta.encodings.cp775.pyo,

avz00002.dta.encodings.cp850.pyo,

avz00002.dta.encodings.cp852.pyo,

avz00002.dta.encodings.cp855.pyo,

avz00002.dta.encodings.cp856.pyo,

avz00002.dta.encodings.cp857.pyo,

avz00002.dta.encodings.cp860.pyo,

avz00002.dta.encodings.cp861.pyo,

avz00002.dta.encodings.cp862.pyo,

avz00002.dta.encodings.cp863.pyo,

avz00002.dta.encodings.cp864.pyo,

avz00002.dta.encodings.cp865.pyo,

avz00002.dta.encodings.cp866.pyo,

avz00002.dta.encodings.cp869.pyo,

avz00002.dta.encodings.cp874.pyo,

avz00002.dta.encodings.cp875.pyo,

avz00002.dta.encodings.cp932.pyo,

avz00002.dta.encodings.cp949.pyo,

avz00002.dta.encodings.cp950.pyo,

avz00002.dta.encodings.euc_jis_2004.pyo,

avz00002.dta.encodings.euc_jisx0213.pyo,

avz00002.dta.encodings.euc_jp.pyo,

avz00002.dta.encodings.euc_kr.pyo,

avz00002.dta.encodings.gb18030.pyo,

avz00002.dta.encodings.gb2312.pyo,

avz00002.dta.encodings.gbk.pyo,

avz00002.dta.encodings.hex_codec.pyo,

avz00002.dta.encodings.hp_roman8.pyo,

avz00002.dta.encodings.hz.pyo,

avz00002.dta.encodings.idna.pyo,

avz00002.dta.encodings.iso2022_jp.pyo,

avz00002.dta.encodings.iso2022_jp_1.pyo,

avz00002.dta.encodings.iso2022_jp_2.pyo,

avz00002.dta.encodings.iso2022_jp_2004.pyo,

avz00002.dta.encodings.iso2022_jp_3.pyo,

avz00002.dta.encodings.iso2022_jp_ext.pyo,

avz00002.dta.encodings.iso2022_kr.pyo,

avz00002.dta.encodings.iso8859_1.pyo,

avz00002.dta.encodings.iso8859_10.pyo,

avz00002.dta.encodings.iso8859_11.pyo,

avz00002.dta.encodings.iso8859_13.pyo,

avz00002.dta.encodings.iso8859_14.pyo,

avz00002.dta.encodings.iso8859_15.pyo,

avz00002.dta.encodings.iso8859_16.pyo,

avz00002.dta.encodings.iso8859_2.pyo,

avz00002.dta.encodings.iso8859_3.pyo,

avz00002.dta.encodings.iso8859_4.pyo,

avz00002.dta.encodings.iso8859_5.pyo,

avz00002.dta.encodings.iso8859_6.pyo,

avz00002.dta.encodings.iso8859_7.pyo,

avz00002.dta.encodings.iso8859_8.pyo,

avz00002.dta.encodings.iso8859_9.pyo,

avz00002.dta.encodings.johab.pyo,

avz00002.dta.encodings.koi8_r.pyo,

avz00002.dta.encodings.koi8_u.pyo,

avz00002.dta.encodings.latin_1.pyo,

avz00002.dta.encodings.mac_arabic.pyo,

avz00002.dta.encodings.mac_centeuro.pyo,

avz00002.dta.encodings.mac_croatian.pyo,

avz00002.dta.encodings.mac_cyrillic.pyo,

avz00002.dta.encodings.mac_farsi.pyo,

avz00002.dta.encodings.mac_greek.pyo,

avz00002.dta.encodings.mac_iceland.pyo,

avz00002.dta.encodings.mac_latin2.pyo,

avz00002.dta.encodings.mac_roman.pyo,

avz00002.dta.encodings.mac_romanian.pyo,

avz00002.dta.encodings.mac_turkish.pyo,

avz00002.dta.encodings.mbcs.pyo,

avz00002.dta.encodings.palmos.pyo,

avz00002.dta.encodings.ptcp154.pyo,

avz00002.dta.encodings.punycode.pyo,

avz00002.dta.encodings.quopri_codec.pyo,

avz00002.dta.encodings.raw_unicode_escape.pyo,

avz00002.dta.encodings.rot_13.pyo,

avz00002.dta.encodings.shift_jis.pyo,

avz00002.dta.encodings.shift_jis_2004.pyo,

avz00002.dta.encodings.shift_jisx0213.pyo,

avz00002.dta.encodings.string_escape.pyo,

avz00002.dta.encodings.tis_620.pyo,

avz00002.dta.encodings.undefined.pyo,

avz00002.dta.encodings.unicode_escape.pyo,

avz00002.dta.encodings.unicode_internal.pyo,

avz00002.dta.encodings.utf_16.pyo,

avz00002.dta.encodings.utf_16_be.pyo,

avz00002.dta.encodings.utf_16_le.pyo,

avz00002.dta.encodings.utf_32.pyo,

avz00002.dta.encodings.utf_32_be.pyo,

avz00002.dta.encodings.utf_32_le.pyo,

avz00002.dta.encodings.utf_7.pyo,

avz00002.dta.encodings.utf_8.pyo,

avz00002.dta.encodings.utf_8_sig.pyo,

avz00002.dta.encodings.uu_codec.pyo,

avz00002.dta.encodings.zlib_codec.pyo,

avz00002.dta.fnmatch.pyo,

avz00002.dta.formatter.pyo,

avz00002.dta.ftplib.pyo,

avz00002.dta.functools.pyo,

avz00002.dta.genericpath.pyo,

avz00002.dta.getopt.pyo,

avz00002.dta.getpass.pyo,

avz00002.dta.gettext.pyo,

avz00002.dta.glob.pyo,

avz00002.dta.gzip.pyo,

avz00002.dta.hashlib.pyo,

avz00002.dta.heapq.pyo,

avz00002.dta.httplib.pyo,

avz00002.dta.inspect.pyo,

avz00002.dta.json._init_.pyo,

avz00002.dta.json.decoder.pyo,

avz00002.dta.json.encoder.pyo,

avz00002.dta.json.scanner.pyo,

avz00002.dta.keyword.pyo,

avz00002.dta.linecache.pyo,

avz00002.dta.locale.pyo,

avz00002.dta.logging._init_.pyo,

avz00002.dta.macurl2path.pyo,

avz00002.dta.mimetools.pyo,

avz00002.dta.mimetypes.pyo,

avz00002.dta.new.pyo,

avz00002.dta.ntpath.pyo,

avz00002.dta.nturl2path.pyo,

avz00002.dta.numbers.pyo,

avz00002.dta.numpy._config_.pyo,

avz00002.dta.numpy._import_tools.pyo,

avz00002.dta.numpy._init_.pyo,

avz00002.dta.numpy.add_newdocs.pyo,

avz00002.dta.numpy.core._dotblas.pyo,

avz00002.dta.numpy.core._init_.pyo,

avz00002.dta.numpy.core._internal.pyo,

avz00002.dta.numpy.core._sort.pyo,

avz00002.dta.numpy.core.arrayprint.pyo,

avz00002.dta.numpy.core.defchararray.pyo,

avz00002.dta.numpy.core.defmatrix.pyo,

avz00002.dta.numpy.core.fromnumeric.pyo,

avz00002.dta.numpy.core.info.pyo,

avz00002.dta.numpy.core.memmap.pyo,

avz00002.dta.numpy.core.multiarray.pyo,

avz00002.dta.numpy.core.numeric.pyo,

avz00002.dta.numpy.core.numerictypes.pyo,

avz00002.dta.numpy.core.records.pyo,

avz00002.dta.numpy.core.scalarmath.pyo,

avz00002.dta.numpy.core.umath.pyo,

avz00002.dta.numpy.ctypeslib.pyo,

avz00002.dta.numpy.dual.pyo,

avz00002.dta.numpy.fft._init_.pyo,

avz00002.dta.numpy.fft.fftpack.pyo,

avz00002.dta.numpy.fft.fftpack_lite.pyo,

avz00002.dta.numpy.fft.helper.pyo,

avz00002.dta.numpy.fft.info.pyo,

avz00002.dta.numpy.lib._compiled_base.pyo,

avz00002.dta.numpy.lib._datasource.pyo,

avz00002.dta.numpy.lib._init_.pyo,

avz00002.dta.numpy.lib._iotools.pyo,

avz00002.dta.numpy.lib.arraysetops.pyo,

avz00002.dta.numpy.lib.arrayterator.pyo,

avz00002.dta.numpy.lib.financial.pyo,

avz00002.dta.numpy.lib.format.pyo,

avz00002.dta.numpy.lib.function_base.pyo,

avz00002.dta.numpy.lib.getlimits.pyo,

avz00002.dta.numpy.lib.index_tricks.pyo,

avz00002.dta.numpy.lib.info.pyo,

avz00002.dta.numpy.lib.io.pyo,

avz00002.dta.numpy.lib.machar.pyo,

avz00002.dta.numpy.lib.polynomial.pyo,

avz00002.dta.numpy.lib.scimath.pyo,

avz00002.dta.numpy.lib.shape_base.pyo,

avz00002.dta.numpy.lib.stride_tricks.pyo,

avz00002.dta.numpy.lib.twodim_base.pyo,

avz00002.dta.numpy.lib.type_check.pyo,

avz00002.dta.numpy.lib.ufunclike.pyo,

avz00002.dta.numpy.lib.utils.pyo,

avz00002.dta.numpy.linalg._init_.pyo,

avz00002.dta.numpy.linalg.info.pyo,

avz00002.dta.numpy.linalg.lapack_lite.pyo,

avz00002.dta.numpy.linalg.linalg.pyo,

avz00002.dta.numpy.ma._init_.pyo,

avz00002.dta.numpy.ma.core.pyo,

avz00002.dta.numpy.ma.extras.pyo,

avz00002.dta.numpy.ma.mrecords.pyo,

avz00002.dta.numpy.numarray._init_.pyo,

avz00002.dta.numpy.numarray.compat.pyo,

avz00002.dta.numpy.numarray.functions.pyo,

avz00002.dta.numpy.numarray.numerictypes.pyo,

avz00002.dta.numpy.numarray.session.pyo,

avz00002.dta.numpy.numarray.ufuncs.pyo,

avz00002.dta.numpy.numarray.util.pyo,

avz00002.dta.numpy.random._init_.pyo,

avz00002.dta.numpy.random.info.pyo,

avz00002.dta.numpy.random.mtrand.pyo,

avz00002.dta.numpy.testing._init_.pyo,

avz00002.dta.numpy.testing.decorators.pyo,

avz00002.dta.numpy.testing.noseclasses.pyo,

avz00002.dta.numpy.testing.nosetester.pyo,

avz00002.dta.numpy.testing.numpytest.pyo,

avz00002.dta.numpy.testing.utils.pyo,

avz00002.dta.numpy.version.pyo,

avz00002.dta.opcode.pyo,

avz00002.dta.optparse.pyo,

avz00002.dta.os.pyo,

avz00002.dta.os2emxpath.pyo,

avz00002.dta.pdb.pyo,

avz00002.dta.pickle.pyo,

avz00002.dta.pkgutil.pyo,

avz00002.dta.posixpath.pyo,

avz00002.dta.pprint.pyo,

avz00002.dta.py_compile.pyo,

avz00002.dta.pydoc.pyo,

avz00002.dta.pydoc_topics.pyo,

avz00002.dta.pyopencl._cl.pyo,

avz00002.dta.pyopencl._init_.pyo,

avz00002.dta.pyopencl.version.pyo,

avz00002.dta.Queue.pyo,

avz00002.dta.quopri.pyo,

avz00002.dta.random.pyo,

avz00002.dta.re.pyo,

avz00002.dta.repr.pyo,

avz00002.dta.rfc822.pyo,

avz00002.dta.sets.pyo,

avz00002.dta.shlex.pyo,

avz00002.dta.shutil.pyo,

avz00002.dta.socket.pyo,

avz00002.dta.SocketServer.pyo,

avz00002.dta.sre.pyo,

avz00002.dta.sre_compile.pyo,

avz00002.dta.sre_constants.pyo,

avz00002.dta.sre_parse.pyo,

avz00002.dta.ssl.pyo,

avz00002.dta.stat.pyo,

avz00002.dta.string.pyo,

avz00002.dta.StringIO.pyo,

avz00002.dta.stringprep.pyo,

avz00002.dta.struct.pyo,

avz00002.dta.subprocess.pyo,

avz00002.dta.symbol.pyo,

avz00002.dta.symtable.pyo,

avz00002.dta.tempfile.pyo,

avz00002.dta.textwrap.pyo,

avz00002.dta.threading.pyo,

avz00002.dta.token.pyo,

avz00002.dta.tokenize.pyo,

avz00002.dta.traceback.pyo,

avz00002.dta.tty.pyo,

avz00002.dta.types.pyo,

avz00002.dta.unittest.pyo,

avz00002.dta.urllib.pyo,

avz00002.dta.urllib2.pyo,

avz00002.dta.urlparse.pyo,

avz00002.dta.UserDict.pyo,

avz00002.dta.uu.pyo,

avz00002.dta.warnings.pyo,

avz00002.dta.weakref.pyo,

avz00002.dta.webbrowser.pyo,

avz00002.dta.zipfile.pyo,

numpy.core._dotblas.pyd,

numpy.core._sort.pyd,

numpy.core.multiarray.pyd,

numpy.core.scalarmath.pyd,

numpy.core.umath.pyd,

numpy.fft.fftpack_lite.pyd,

numpy.lib._compiled_base.pyd,

numpy.linalg.lapack_lite.pyd,

numpy.random.mtrand.pyd,

phatk.cl,

pyopencl._cl.pyd,

w9xpopen.exe

 

Вредоносный код в файлах не обнаружен.

 

 

avz00002.dta.select.pyo,

avz00002.dta.sha256.pyo,

avz00002.dta.unicodedata.pyo,

t2.vbs

 

Файлы в процессе обработки.

 

poclbm.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.r

 

Этот файл уже детектируется нашими расширенными базами как потенциально опасное программное обеспечение.

 

С уважением, Лаборатория Касперского

 

 

Логи скоро будут

 

O4 - Startup: poclbm.lnk = C:\Documents and Settings\117\Application Data\poclbm\t2.vbs вот эту строку в HijackThi я не нашел

[thyrex 1 468]

Новые логи где?

[Blu Ray 0]

логи сделал

AdwCleaner_R1_.txt

mbam_log_2013_03_25__13_56_10_.txt

info.txt

log.txt

virusinfo_syscheck.zip

virusinfo_syscure.zip

[thyrex 1 468]

Что с проблемой?

[Blu Ray 0]

вроде все нормально; спасибо

[Roman_Five 598]

вручную удалите папку

C:\Documents and Settings\117\Application Data\poclbm

 

ещё раз запустите AdwCleaner и нажмите Delete

 

 

деинсталлируйте MBAM