How to remove watermark.exe , qtplugin.exe

watermark.exe , qtplugin.exe

(Trojan Zbot +Win32.Ramnit > infection .exe + .dll , htm , html)

MD5 : cb717c90c520627b4b1022538a807f41

SHA1 : 235d9f78138022d92a741e9038c55ede28e8080

...

Antivirus	Version	Last Update	Result
AhnLab-V3	2010.11.19.00	2010.11.18	-
AntiVir	7.10.14.54	2010.11.19	-
Antiy-AVL	2.0.3.7	2010.11.19	-
Avast	4.8.1351.0	2010.11.19	-
Avast5	5.0.594.0	2010.11.19	-
AVG	9.0.0.851	2010.11.19	-
BitDefender	7.2	2010.11.19	-
CAT-QuickHeal	11.00	2010.11.09	-
ClamAV	0.96.4.0	2010.11.19	-
Command	5.2.11.5	2010.11.19	-
Comodo	6772	2010.11.19	-
DrWeb	5.0.2.03300	2010.11.19	-
eSafe	7.0.17.0	2010.11.18	-
eTrust-Vet	36.1.7986	2010.11.19	-
F-Prot	4.6.2.117	2010.11.19	-
F-Secure	9.0.16160.0	2010.11.19	-
Fortinet	4.2.254.0	2010.11.18	-
GData	21	2010.11.19	-
Ikarus	T3.1.1.90.0	2010.11.19	-
Jiangmin	13.0.900	2010.11.19	-
K7AntiVirus	9.68.3030	2010.11.19	-
Kaspersky	7.0.0.125	2010.11.19	-
McAfee	5.400.0.1158	2010.11.19	-
McAfee-GW-Edition	2010.1C	2010.11.19	-
Microsoft	1.6402	2010.11.19	-
NOD32	5634	2010.11.19	-
Norman	6.06.10	2010.11.19	-
nProtect	2010-11-19.02	2010.11.19	-
Panda	10.0.2.7	2010.11.19	Suspicious file
PCTools	7.0.3.5	2010.11.19	-
Prevx	3.0	2010.11.19	-
Rising	22.74.03.08	2010.11.19	-
Sophos	4.59.0	2010.11.19	-
SUPERAntiSpyware	4.40.0.1006	2010.11.19	-
Symantec	20101.2.0.161	2010.11.19	-
TheHacker	6.7.0.1.086	2010.11.18	-
TrendMicro	9.120.0.1004	2010.11.19	-
TrendMicro-HouseCall	9.120.0.1004	2010.11.19	-
VBA32	3.12.14.2	2010.11.19	-
VIPRE	7352	2010.11.19	-
ViRobot	2010.10.30.4121	2010.11.19	-
VirusBuster	13.6.50.0	2010.11.19	-

...
Files added

C:\Program Files\Microsoft\WaterMark.exe

C:\WINDOWS\system32\qtplugin.exe

C:\WINDOWS\Temp\~TMAE.tmp

C:\Documents and Settings\All Users\Documents\Server\hlp.dat

C:\Documents and Settings\All Users\Documents\Server\sphlp.dll

C:\WINDOWS\system32\dmlconf.dat

Random filename (G:\ = USB Drive)

G:\RECYCLER\S-8-3-64-1048448514-4065553481-533076170-7412\AmXrPwdM.exe

G:\RECYCLER\S-8-3-64-1048448514-4065553481-533076170-7412\hOSNkgcG.cpl

G:\Copy of Shortcut to (1).lnk > lnk runner or lnk stater

G:\Copy of Shortcut to (2).lnk > lnk runner or lnk stater

G:\Copy of Shortcut to (3).lnk > lnk runner or lnk stater

G:\Copy of Shortcut to (4).lnk > lnk runner or lnk stater

G:\xxxx.tmp (Running numper) > lnk runner or lnk stater

G:\autorun.inf

http://viruslab.blog.avg.com/2010/07/dangerous-flash-drives.html

Keys added

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\LowRegistry

Values deleted

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore\DisableSR: 0x00000000

Values added

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

RegistryMonitor1: "C:\WINDOWS\system32\qtplugin.exe"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup\

RegistryMonitor2: "15508748"

Values modified

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\

Userinit: "userinit.exe,,c:\program files\microsoft\watermark.exe"

HKLM\SYSTEM\CurrentControlSet\Enum\PCI\VEN_8086&DEV_24C2&SUBSYS_013A1028&REV_01\3&172e68dd&0&E8\Device Parameters\”DetectedLegacyBIOS” = “1″

HKLM\SYSTEM\ControlSet001\Services\sr\Parameters\FirstRun: 0x00000001

HKLM\SYSTEM\CurrentControlSet\Services\sr\Parameters\FirstRun: 0x00000001

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Templates: "C:\WINDOWS\system32\config\systemprofile\Templates"

-----------------------------------------------------------------------

ไวรัสลูกผสมตัวนี้ร้ายนะครับ ติดผ่านทาง USB drive โดยไม่ใช้ช่องทาง autorun.inf แต่เป็นการเจาะผ่าน ทาง .lnk shortcut file ซึ่งเมื่อ Windows Explorer แสดง icon ของไฟล์ .lnk นั้น ไวรัสก็จะทำงานและวิ่งเข้าเครื่องทันทีครับ ตามที่เคยมีรายงานมา่ก่อนหน้านี้แล้ว และที่สำคัญ ไฟล์ .exe และ .dll ของโปรแกรม จะติดไวรัสตัวนี้ และไม่สามารถ clean หรือ repair ได้

ต้อง delete ทิ้ง ชื่อที่ Antivirus รู้จักแล้วคือ Win32.Ramnit

โดย virus จะสร้างไฟล์ autorun.inf และ้ไฟล์แบบ random .exe ไว้ใน recycler ใน USB drive

และสร้างไฟล์ Copy of Shortcut to (1 - 4).lnk

ผมก็เพิ่งเคยทดสอบไวรัสแบบใหม่นี้เป็นตัวแรก หาวิธีแก้อยู่นาน ถึงแม้จะลง antivirus และ update แล้ว Scan เรียบร้อยแ้ล้ว สักพักจะกลับมาเหมือนเดิม เพราะ virus ได้ติดไฟล์ .exe ในระบบไปแล้ว ลองติดตั้ง Avast แล้วใช้ boot time scan ก็ยังกลับมาเหมือน

Avast , ESET , AVIRA นั้นไม่สามารถ repair ไฟล์ที่ติดเชื้อได้

ตัวอย่างดังภาพ

ถ้าลำพัง trojan Zbot นั้นกำจัดได้ไม่ยาก โดยใช้ Zbot killer ของ kaspersky

แต่ว่าเ้จ้า zbot ตัวนี้ได้เปิดประตูหลัง ให้ไวรัส ramnit เข้ามาด้วยทำให้ไฟล์ในเครื่องนามสกุล .exe ,.dll ,.html ติดไวรัสไปด้วย โดยเครื่องที่ติดไวรัสนี้ แล้ว antivirus รู้จักหลังจากติดไปแล้วนั้นแก้ไขได้ลำบาก

ตัวอย่างไวรัส ที่ผม capture ไว้

Trojan Zbot (.exe) + Ramnit(.cpl)

http://viruslab.blog.avg.com/2010/07/dangerous-flash-drives-part-2.html

===================================================

วิธีแก้ไวรัส Win32.Ramnit + lnk runner

===================================================

ใช้ Recuse CD (กำจัดได้สะดวกที่สุด) Scan Full harddisk

• 
  
• Dr.Web® LiveCD
• Kaspersky Rescue Disk
• Bitdefender Rescue CD

Panda Safe CD

โปรแกรม Antivirus ที่แก้ไขไฟล์ที่ infected ได้คือ

Kaspersky

Dr.WEB

Bitdefender

Panda

ตัวอย่างการทดสอบด้วย Kaspersky Virus Remove Tool

ตัวอย่างการทดสอบด้วย Dr.WEB

ตัวอย่างการทดสอบด้วย Bitdefender

ข้อแนะนำเพิ่มเติม

1.ให้ปิด function autorun และปิด system restore

http://support.microsoft.com/kb/967715

2. ให้ติดตั้ง path

http://www.microsoft.com/technet/security/Bulletin/MS10-046.mspx

หรือลงตัวนี้เพิ่ม

http://support.microsoft.com/kb/2286198

ควรติดตั้งโปรแกรม Freeze ระบบ windows ก็จะเป็นการดี เช่น Returnil (freeware)

ใช้สิทธิระดับต่ำคือ Limit user แ่ทนการ log on ด้วยสิทธิ Admin

อันนี้เป็น ramnit version ก่อนหน้านี้

http://www.threatexpert.com/report.aspx?md5=a2cc13e4a91b2555d76365975182c819

http://www.threatexpert.com/report.aspx?md5=175a1f1431623da8c29f886353877deb

http://www.threatexpert.com/report.aspx?md5=766d0dcca99dd105f4c6b172cf62b0d5

link อื่นๆ

http://www.avira.com/en/support-threats-summary/tid/5796/w32_ramnit_c.html

http://www.malware-analysis.net/?p=321

http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Virus:Win32/Ramnit.A