Пропажа денег с ВебМани, возможно Trojan-PSW.Win32.Agent.nxu

[webartel]

Подцепил какой-то троян который угоняет деньги с ВебМани. На кипер приходит счет от обменника Робоксчэндж, счет автоматически оплачивается, после чего меняется файл ключей и собственно доступ к кошельку просто отсутствует.

По рекомендации http://virusinfo.info/pravila.html Касперский 6 нашел и удалил
троянская программа Trojan-PSW.Win32.Agent.nxu Файл: C:\Program Files\WebMoney\inetmib1.dll
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Local\Microsoft\Windows\Temp orary Internet Files\Content.IE5\LOY3PGIG\load[1].exe
троянская программа Trojan.Win32.Pakes.npp Файл: C:\Users\root\AppData\Local\Microsoft\Windows\Temp orary Internet Files\Content.IE5\LV4UHRZ8\load[2].exe
троянская программа Rootkit.Win32.UMFSHide.a Файл: C:\Users\root\AppData\Local\Microsoft\Windows\Temp orary Internet Files\Content.IE5\RYQP09ZG\load[2].exe
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Roaming\nscagent.exe
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Roaming\nSvcAppFlt.exe
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Roaming\sysrc32.exe
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Roaming\syssl.exe

Посмотрите пожалуйста, все ли удалилось? Заранее спасибо.

[DefesT]

Отключите восстановление системы!!!
Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Ansys Inc\v100\CommonFiles\TCL\bin\intel\tcldde83.dll','');
 QuarantineFile('C:\WINDOWS\system32\5378.exe','');
 DeleteFile('C:\WINDOWS\system32\5378.exe');
 QuarantineFile('c:\program files\bwmeter\bwmeterconsvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\tapi.nfo','');
 DeleteFile('C:\WINDOWS\system32\tapi.nfo');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','systme');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Очистите временные папки интернета. Сделайте новые логи по правилам.

[webartel]

Уважаемый DefesT! Я пытался отключить восстановление системы (Виста) как указано в инструкции, все галочки убраны системы перезагружена, но при в логах AVZ все равно пишется что восстановление включено.
Можно ли как-нибудь отключить восстановление через реестр или командной строкой? Или подскажите как вообще быть в такой ситуации?
Прилагаю скрин, где показано что я "отключил" восстановление.

И раз дело так серьезно, то добавлю еще вот что, при загрузке вместо привычного рабочего стола появляется папка с какими-то файлами, а самого рабочего стола нет. Запускаю рабочий стол через "Выполнить - explorer". Может эта инфа будет полезна.

[AndreyKa]

C восстановлением системы все правильно.
Делайте дальше, что DefesT написал.

[webartel]

Сделано. Пароль на карантин virus.

[AndreyKa]

Логи AVZ не годятся. Надо AVZ запускать от имени Администратора.

ProxyServer = ftp=192.168.0.1:80;gopher=192.168.0.1:80;http=127. 0.0.1:2080;https=192.168.0.1:80

Это вы настроили?

[webartel]

Логи AVZ не годятся. Надо AVZ запускать от имени Администратора.

Просто создал нового пользователя с обычными правами по рекомендации с форума. Вроде AVZ запускал от имени Администратора, еще удивился, почему не запросил пароль...
Сейчас сделал логи под учетной записью Администратора.

Это вы настроили?

Специально ничего не настраивал.

[AndreyKa]

Словосочетание "Inter-PRO" знакомо?
Пофиксте в HijackThis строку:

O4 - HKUS\S-1-5-21-1448803122-279155766-1150551697-1000\..\Run: [] (User 'root')

Судя по вашему первому сообщению трояны проникли через какой-то web-сайт.
Установите Service Pack 1 и 2 на Windows Vista и Internet Explorer 8.
Выполните в AVZ скрипт из файла ScanVuln.txt и приложите к этой теме файл c:\avz_log.txt

[webartel]

Словосочетание "Inter-PRO" знакомо?

Да, знакомо. Эта прога мной используется.

Установите Service Pack 1 и 2 на Windows Vista и Internet Explorer 8.
Выполните в AVZ скрипт из файла ScanVuln.txt и приложите к этой теме файл c:\avz_log.txt

Сделано.
AVZ в протоколе говорит, что "Установлен Adobe Acrobat Reader версии 8.1.3.0. Необходимо обновить его до версии 8.1.6", я обновился до 8.1.6 однако предупреждение все равно выводится.

[AndreyKa]

AVZ в протоколе говорит, что "Установлен Adobe Acrobat Reader версии 8.1.3.0. Необходимо обновить его до версии 8.1.6", я обновился до 8.1.6 однако предупреждение все равно выводится.

Компьютер перезагружали?

[webartel]

Компьютер перезагружали?

Да, перезагружал.
Вот скрин с указанием версии.

И еще, скажите пожалуйста, если я использую в основном Оперу ее тоже нужно обновить до последней версии?

[AndreyKa]

Спасибо, действительно, скрипт не верно определяет эту версию Adobe Acrobat Reader.

Оперу обновить не помешает. Всё ПО, используемое при работе в Интернет, желательно поддерживать в актуальном состоянии.

[webartel]

Скажите, а процедура лечения закончена? Можно считать комп относительно безопасным?

[AndreyKa]

Да.

[webartel]

ОГРОМНОЕ человеческое спасибо

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения вредоносные программы в карантинах не обнаружены