Прошу помощи. Не могу удалить файл advapi32.$$$ из system32

[MAEstro]

При проверке AVZ пишет про подозрение на троянскую DLL или кейлоггер в 2 файлах: ntsock.dll и cpadvai.dll

Началось все с запуска некоего файлика xe-xe.exe, который пришел по эл.почте. В результате запуска никакой видимой реакции не произошло, а файлик благополучно исчез. После этого стал подтормаживать инет, хотя при просмотре использования сети в диспетчере задач никакой активности вроде нет. В системном каталоге (System32) появился файл advapi32.$$$, который даже если удалить, при перезапуске вновь появляется. Еще было несколько файлов с Spy.Aureate, которые AVZ удалил при лечении.
Вот вкратце и все.

[drongo]

Выполнить скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('\SystemRoot\System32\Drivers\dump_IdeChnDr.sys','');
 QuarantineFile('C:\WINDOWS\system32\ntsocks.dll','');
 QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
 QuarantineFile('\\server-zhb\netlogon\xauth.exe','');
 QuarantineFile('c:\program files\winamp\winampa.exe','');
 QuarantineFile('c:\windows\system32\ntsock.exe','');
 QuarantineFile('C:\install\FAR v1.65\PlugIns\pktv04b.rar/{RAR}/pkt.dll',''); 
RebootWindows(true);
end.

Kомпьютер перегрузиться , после этого Полученный "карантинный" файл (будет в папке , где находиться сама программа AVZ ) прислать как написано в правилах .
Зайдите в AVZ - AVZPm и установите драйвер .Перегрузитесь . Желательно показать логи от авз , когда драйвер установлен .

wmplayer.exe - Поищите и пришлите , у меня в подписи написано как .

P.s. можете прислать копию advapi32.$$$ , хотя не думаю что он вредный .

P.P.S zhb.local - это что, известно ???
192.168.90.5,80.92.10.253,80.92.10.252- Ваш провайдер ?

[MAEstro]

Выполнить скрипт в AVZ
Kомпьютер перегрузиться , после этого Полученный "карантинный" файл (будет в папке , где находиться сама программа AVZ ) прислать как написано в правилах .

Файл выслал.

P.P.S zhb.local - это что, известно ???
192.168.90.5,80.92.10.253,80.92.10.252- Ваш провайдер ?

192.168.90.5 сервер домена zhb.local
80.92.10.253,80.92.10.252 - сервера провайдера

[MAEstro]

P.s. можете прислать копию advapi32.$$$ , хотя не думаю что он вредный .

Этот файл тоже отправил.

wmplayer.exe - Поищите и пришлите , у меня в подписи написано как .

А вот этот не могу добавить в карантин. Поиск выдает 4 файла:
C:\Program Files\Windows Media Player\wmplayer.exe
C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}\wmplayer.exe
C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}$BACKUP$\System\wmplayer.exe
C:\WINDOWS\system32\dllcache\wmplayer.exe
Нажимаю кнопку копировать найденные файлы в карантин - никакого результата.
Добавление в карантин по списку тоже результатов не дает. Пишет:
Процесс добавления файлов запущен
Процесс добавления файлов завершен
И все.
При просмотре карантина файлов этих там нет.

[Shu_b]

пока так:
C:\WINDOWS\system32\ntsocks.dll - Trojan.PWS.Lineage (DrWeb)
вероятно есть ещё что то...

ps. точно есть... ждём...

[drongo]

А если так попробовать :

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\Program Files\Windows Media Player\wmplayer.exe','');
  QuarantineFile('C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}\wmplayer.exe','');
  QuarantineFile('C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}$BACKUP$\System\wmplayer.exe','');
  QuarantineFile('C:\WINDOWS\system32\dllcache\wmplayer.exe','');
 RebootWindows(true);
end.

Есть просто подозрение , что это член этого семейства

[MAEstro]

Пробовал и в защищенном режиме запускать AVZ и выполнить этот скрипт - результат тот же - нулевой. В карантине эти файлы не появляются.

Новые логи сделаю и вышлю завтра.

[pig]

advapi32.$$$ - это происки Крипто-Про.

[Shu_b]

begin
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntsocks.dll','');
 QuarantineFile('c:\windows\system32\ntsock.exe','');
ExecuteSysClean;
RebootWindows(true);
end.

C:\WINDOWS\system32\ntsocks.dll - Trojan.PWS.Gamania
c:\windows\system32\ntsock.exe - Trojan.PWS.Lineage

[drongo]

Пофиксить :

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://as.starware.com/dp/search?x=wKX1ILEOi+Vh7AfA98Gm4Me69ZMbubcD98ptiQjWyuqy0JwyjFV9YwDj6RB+7kHucFIqTXdM8BusUsdtON3ALmvXfRbkkPu3QTKJBdmsH+lD5qOE5UT7oUbdkU1MkrdLt1MZxBsHr+SVYArkuk5ByFAdbViCQkqdDh3pEU/FONf2nLYb3AXNUA==
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe //ICWLaunch
O3 - Toolbar: WebAlta Toolbar - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - C:\Program Files\WebAlta\Toolbar\WebaltaToolbar.dll (file missing)

для удаления ,нужно в авз выполнить вот этот скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\windows\system32\ntsock.exe');
 DeleteFile('C:\WINDOWS\system32\ntsocks.dll');
ExecuteSysClean;
RebootWindows(true);
end.

P.S. надо у Олега спросить , почему не хочет копироваться

[MAEstro]

Вот новые логи, которые сделал после удаления ntsock'ов. Но wmplayer.exe все равно не могу скопировать в карантин. Хоть и пишет в протоколе, что:
Файл C:\Program Files\Windows Media Player\wmplayer.exe скопирован в карантин
Файл C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}\wmplayer.exe скопирован в карантин
Файл C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}$BACKUP$\System\wmplayer.exe скопирован в карантин
Файл C:\WINDOWS\system32\dllcache\wmplayer.exe скопирован в карантин
Тем не менее файлы эти в просмотре карантина не появляются.

[MAEstro]

advapi32.$$$ - это происки Крипто-Про.

Так значит этот файл никакого отношения к заражению не имеет? Я правильно понял?
Просто навело на сомнение его дата - время и день последней загрузки (т.е. текущей).

[pig]

Да, это штатный хакерский метод работы Крипто-Про. Что-то он там в advapi32.dll патчит по своему разумению.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\ntsock.exe - Trojan-GameThief.Win32.Ganhame.dm (DrWEB: Trojan.PWS.Lineage)
  2. c:\\windows\\system32\\ntsocks.dll - Trojan-GameThief.Win32.Ganhame.eb (DrWEB: Trojan.PWS.Gamania)