Zwalczanie Win32/Nuwar.gen

Dla specjalistów Bezpieczeństwo
#1

Jako, że to mój pierwszy post na tym forum - witam wszystkich.

Wczoraj przydarzyło się mojemu laptopowi coś bardzo nieprzyjemnego - zwis, a później straszne mulenie, wyłączanie się programów w trakcie pracy. Po użyciu kilku antywirusów (niestety miałem zdezaktualizowaną Pandę, która nie wykryła w zasadzie nic szczególnego, więc musiałem przerzucić się na nowy NOD32) usunąłem sporo wirusów, trojanów i robaków. Po kilku skanach NOD32 wykrywa już tylko robaka Win32/nuwar.gen, ale nie może go usunąć (pliki w których go wykrywa są w katalogu, do którego nie mogę uzyskać dostępu).

Z tego, co czytałem w internecie, robak ten zabezpiecza się przed usunięciem uruchamiając się przed innymi programami i blokując im możliwość skutecznego działania. Znalazłem w rejestrze podejrzane wpis:

O4 - HKCU…\Run: [xem] C:\WINDOWS\ServicePackFiles\services.exe - po tym, co przeczytalem podejrzewam że to jest plik robaka, a nie systemu, chciałbym się jednak upewnić.

Generalnie - naczytałem się teraz o tym robaku, ale nie jestem pewien co mam robić: mam raczej słabe pojęcie i informatyce i rzeczach z nią związanych. Byłbym bardzo wdzięczny, gdybyście poradzili mi co mam robić w tej sytuacji, by wyjść z niej w miarę bez szwanku (no i przez jakiś czas przynajmniej jeszcze nie być zmuszonym do formatowania całego dysku i reinstalacji systemu+wszystkich programów). Mam nadzieję, że to nie do końca prawda, że Nuwar.gen nieodwracalnie uszkadza wszystkie pliki *.exe na komputerze i nie ma innego wyjścia niż format i reinstalacja?

Zauważyłem, że diagnozujecie na podstawie logów z HijackThis :slight_smile: Oto mój:

#2

usuń wpisy HJT

Użyj VundoFix + Trojan.Vundo Removal Tool + VirtumundoBeGone.

Po wszystkim daj log z combofix - http://download.bleepingcomputer.com/sUBs/ComboFix.exe

#3

Usunąłem wskazane pozycje w HiJack This (“Fix”), uruchomiłem zalecone programy (nic nie znalazły) i zrobiłem skan ComboFix:

Powstał jakiś dodatkowy log z plikami w kwarantannie:

01-10-26 17:45 742 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\etc\hosts.tim.vir

06-12-27 22:21 0 --a--c--- C:\Qoobox\Quarantine\C\WINDOWS\system32\recsl.exe.vir

07-05-04 20:11 57344 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\wincom32.sys.vir

07-05-04 20:12 1 --a------ C:\Qoobox\Quarantine\C\i.vir

07-05-04 20:12 15 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\dlh9jkd1q8.exe.vir

07-05-04 20:13 1174044 --a------ C:\Qoobox\Quarantine\C\DOCUME~1\DRA~1.KUL\DANEAP~1\Install.dat.vir

07-05-04 20:13 12364 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\vexga5me3.exe.vir

07-05-04 20:13 150 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\max1d164v.exe.vir

07-05-04 20:13 190 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\killer.exe.bak.vir

07-05-04 20:15 122880 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\54181531.dll.vir

07-05-04 20:15 13824 --a------ C:\Qoobox\Quarantine\C\WINDOWS\winvip.exe.vir

07-05-04 20:15 1406 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\www.google.com\favicon.ico.vir

07-05-04 20:15 1410 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\www.google.com\Google_files\hp3.gif.vir

07-05-04 20:15 1434 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\www.google.com\index.html.vir

07-05-04 20:15 2702 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\www.google.com\Google_files\hp2.gif.vir

07-05-04 20:15 2953 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\www.google.com\Google_files\hp1.gif.vir

07-05-04 20:15 4277 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\www.google.com\Google_files\hp0.gif.vir

07-05-04 20:15 62976 --a------ C:\Qoobox\Quarantine\C\WINDOWS\system32\arcac.exe.vir

07-05-04 20:15 986 --a------ C:\Qoobox\Quarantine\C\WINDOWS\ServicePackFiles\www.google.com\thank.html.vir



Zmienna PATH folderu

Numer seryjny woluminu: 71F5E346 6810:92C5

C:\QOOBOX

+---purity

| \---C

| +---Program Files

| | +---Common Files

| | | +---ASEMBL~1

| | | +---CROSOF~1.NET

| | | +---DOBE~1

| | | +---ICROSO~1

| | | +---ICROSO~1.NET

| | | +---RACLE~1

| | | +---TSKS~1

| | | \---WNSXS~1

| | +---CURITY~1

| | +---DOBE~1

| | +---MCROSO~1

| | +---SSTEM3~1

| | \---YSTEM~1

| \---WINDOWS

| +---CROSOF~1

| +---ICROSO~1

| +---MANTEC~1

| +---RACLE~1

| +---RACLE~2

| +---system32

| | +---ASKS~1

| | +---ASKS~2

| | +---CURITY~1

| | +---FNTS~1

| | +---ICROSO~1.NET

| | +---PPATCH~1

| | +---PPPATC~1

| | \---WNSXS~1

| \---YSTEM~1

\---Quarantine

    +---C

    | | i.vir

    | |   

    | +---DOCUME~1

    | | \---DRA~1.KUL

    | | \---DANEAP~1

    | | Install.dat.vir

    | |               

    | \---WINDOWS

    | | winvip.exe.vir

    | |   

    | +---ServicePackFiles

    | | | 54181531.dll.vir

    | | | killer.exe.bak.vir

    | | |   

    | | \---www.google.com

    | | | favicon.ico.vir

    | | | index.html.vir

    | | | thank.html.vir

    | | |   

    | | \---Google_files

    | | hp0.gif.vir

    | | hp1.gif.vir

    | | hp2.gif.vir

    | | hp3.gif.vir

    | |               

    | \---system32

    | | arcac.exe.vir

    | | dlh9jkd1q8.exe.vir

    | | max1d164v.exe.vir

    | | recsl.exe.vir

    | | vexga5me3.exe.vir

    | | wincom32.sys.vir

    | |   

    | \---drivers

    | \---etc

    | hosts.tim.vir

    |                       

    \---Registry_backups

Co chwilę NOD32 wykrywa próbę ściągnięcia na komputer jakiegoś trojana.

I jest jeszcze jedna dość dziwna sprawa: część programów (m.in. Outlook Express) wyłącza się po tym jak korzystając z nich używam klawiatury (dopóki obsługuję je myszą - wszystko jest ok).

#4

Użyj Pocket Killbox. Zaznaczasz opcję Delete on Reboot i w polu Full Path of File to Delete wklejasz ścieżkę

C:\WINDOWS\system32\lsdjd84jdhj.dll

i naciskasz X czerwony. Program poprosi o reset kompa … czyli resetujesz.

Otwórz Notatnik i wklej w nim to:

Plik >>> Zapisz jako >>> Ustaw rozszerzenie z TXT na Wszystkie pliki >>> zapisz pod nazwą FIX.REG >>> kliknij podwójnie zrobiony plik i potwierdź >>> reset kompa

#5

Wygląda na to, że pomogło! Outlook i Gadu-Gadu działają już normalnie (nie wyłączają się - w gg coś szwankuje z grafiką, nie wiem czego to może być symptomem, ale mam nadzieję, że to nic poważnego), wszystko inne na razie tez wygląda OK. NOD32 nie wykrywa już co chwilę próby ściągnięcia Trojana… Na wszelki wypadek przedstawiam loga z Silent Runners (tworzył się pół godziny, czy to normalne?):

Byłbym wdzięczny (hm, już jestem… w takim razie: byłbym wdzięczny jeszcze bardziej), gdyby ktoś rzucił fachowym okiem na powyższego loga i stwierdził, czy sytuacja jest już opanowana i mogę odetchnąć. Na jakimś forum czytałem, że ten cały robak Nuwar.gen trwale uszkadza pliki (w tym *.exe) - to prawda?

Dziękuję Ci serdecznie, Gutku2222, za dotychczasową pomoc.

#6

Już jest Ok.

U jednych log jest tworzony minutę, a u drugich nawet 15 minut, więc nie należy się przejmować się tym. Czas tworzenia loga o niczym nie świadczy.

Przeskanuj system skanerem on-line Kasperskiego:

http://www.kaspersky.pl/virusscanner.html

I jeśli został dodany jakiś kod do plików *.EXE, to ten skaner powinien to wykryć i naprawić. Bowiem skaner Kasperskiego jest bardzo skuteczny. Niejednokrotnie już widziałem raporty, w których zostały wykryte bardzo poważne szkodniki modyfikujące kod binarny plików.

#7

Kaspersky wykrył wprawdzie jakieś paskudztwa TrojanDownloader w kilku plikach, ale udało mi się je usunąć bez problemu… Poza tym rzeczywiście wygląda na to, że wszystko w porządku!

Chciałbym wobec tego serdecznie Wam podziękować za szybką oraz - co najważniejsze - kompetentną i skuteczną pomoc. Gdyby nie Wy pewnie musiałbym tłuc się po jakichś “pogotowiach komputerowych” w których jakiś geniusz pewnie i tak sformatowałby mi dysk i wziął za to jeszcze niezłą kasę. Nie mam na razie pomysłu jak by się Wam odwdzięczyć, więc jeszcze raz: dziękuję.