Win32/Rootkit.Agent.DP trojan

[Ear-Ear]

День добрый,
У меня завелся вирусок Win32/Rootkit.Agent.DP trojan.
Начались перезагрузки PC, тлаги и прочее веселье.
Поискал инфу по нему и набрел на аналогичную проблему, решенную на Вашем сайте: http://virusinfo.info/showthread.php?p=113644.
Вирус вроде прибил, следуя Вашим указаниям, но на всякий не могли бы Вы посмотреть логи. Создал их по Правилам форума.
Спасибо за помощь! Вы уже существенно мне помогли!
Удачи в таком полезном деле!
С уважением,
Ear-Ear.

P.S. Попутно отловлен еще один "помощник юзера" - "Подозрение на Trojan.Win32.Agent.dcc". Заперт AVZ в карантине.

[Bratez]

Карантин AVZ (файл virusinfo_cure.zip) загрузите тут:
http://virusinfo.info/upload_virus.php?tid=15028

Посмотрите, нужно ли вам что-то из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные
>>> Безопасность: В IE разрешена загрузка неподписанных элементов ActiveX
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Лишнее отключим для профилактики.

[Ear-Ear]

Спасибо за помощь!

Карантин AVZ (файл virusinfo_cure.zip) загрузите тут:
http://virusinfo.info/upload_virus.php?tid=15028

Загрузил

Посмотрите, нужно ли вам что-то из этого:

Сорри за вопросы от чайника, но кое-что непонятно (выделил цветом). Если можно ответьте плиз! заранее благодарен!
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
Вроде как отключил.
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
Вроде как отключил.
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
Вроде как отключил. Риск велик? Это ведь подбор драйверов? Просто изредка пытаюсь восстановить фирмвэа на своем MP4. Кстати с него все и началось - зарекся покупать китайские продукты. Мало того что вместо 4GB купил на e-bay 1MB (хакнутый был MP4) так еще и комп заражен оказался.
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
Вроде как отключил. Это им пользуется ReGet для отложенной задачи? В принципе полезно, часто использую но если надо могу им пожертвовать.
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
Вроде как отключил.
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
Вроде как отключил.
>> Безопасность: разрешен автозапуск программ с CDROM
Не нашел в WinXP отключение автозапуска для устройства в целом, только по контенту диска. Везде проставил "запросить...". Пойдет так?
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
Это насчет типа учетной записи текущего пользователя?
Это домашний компьютер, не хотелось бы обрезать домочадцам возможности установления нового софта и т.д. Но если надо-сделаю.
>> Безопасность: к ПК разрешен доступ анонимного пользователя
А это где найти настройки? В локальных пользователях вроде гость отключен.
>>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные
Вроде как отключил.
>>> Безопасность: В IE разрешена загрузка неподписанных элементов ActiveX
Вроде как отключил.
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
Вроде как отключил.
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
А это где найти настройки?

[rubin]

Скажите, что Вам не нужно - мы скрипт сделаем

[Ear-Ear]

Скажите, что Вам не нужно - мы скрипт сделаем

Спасибо!
А вроде без всего этого обойдусь, просто хотелось бы знать где потом включать - мало ли что. Ну это потом сам найду.
Еще раз спасибо. Жду скрипт.

[V_Bond]

выполните скрипт ....

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\client\\p4ck.exe - Trojan.Win32.Agent.dcc (DrWEB: BackDoor.Bulknet.9