вылезает Trojan.PWS.LDPinch.1417

[Henry Morgan]

Здравствуйте, Господа!

Др.Веб периодически ловит:
20-06-2007 15:57:56 [CL] C:\System Volume Information\_restore{5B942C52-3EC6-4393-ADAF-2DA421A20CCE}\RP99\A0028486.exe - инфицирован Trojan.PWS.LDPinch.1417

fixmbr сообщил о нестандартном загрузчике, был переписан. Chkdsk также глюрит(atapi.sys?). Хэлп, плиз.

С уважением..
HM

[Макcим]

Выполните скрипт в AVZ

begin
ClearQuarantine;
 BC_QrSvc('runtime2');
 BC_QrFile('C:\Windows\system32\drivers\runtime2.sys');
 BC_DeleteSvc('runtime2');
 BC_DeleteFile('C:\Windows\system32\drivers\runtime2.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_Activate;
 RebootWindows(true);
end.

"Пофиксите" в HijackThis

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/2Q00CPT/0409/bF8.asp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.compaq.com/2Q00CPT/0409/bF7.asp
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\HM\LOCALS~1\Temp\winlogon.exe

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

[Henry Morgan]

пока avz работает, хотел спросить следующее. то, что startdrv рожается именно runtime2 - это понятно. но меня смутило то, что runtime2 не было видно. PsSetCreateProcessNotifyRoutine юзается? на то и расчет, что на "отсутствующий" файл никто внимание не обратит? и куда DrWeb тогда смотрит?

прошу прощения, если вопросами "достал".

[Henry Morgan]

логи прилагаются. спасибо за помощь!

[Макcим]

но меня смутило то, что runtime2 не было видно.

runtime2 - руткит. Его не видно из под Windows.

и куда DrWeb тогда смотрит?

Вот это я тоже хотел бы знать. Касперский его уже давно детектит.

[pig]

Может, и увидит, если Спайдер из оптимального режима в тяжёлый перевести.

[PavelA]

Пароли нужно менять!!! Pinch-то он на это заточен.

[Макcим]

"Пофиксите" в HijackThis

O4 - HKLM\..\Run: [Mirabilis ICQ] ;;;C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [NeroFilterCheck] ;;;C:\Windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [GCXX-Manager-Class] ;"C:\Program Files\Sony Ericsson\Wireless Manager\GCXXManager.exe" -startup
O4 - HKCU\..\Run: [MSMSGS] ;;;"C:\Program Files\Messenger\msmsgs.exe" /background

Повторите логи.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\temp\\startdrv.exe - Trojan-Downloader.Win32.Agent.brl (DrWEB: BackDoor.Bulknet)