Trojan.Win32.Agent.afg

[Angel 2S2]

AVZ находит файл в C:\Windows\System32\*.dll, на который говорит, что Trojan.Win32.Agent.afg

Я его удаляю, но файл появляется снова уже с другим именем. Логи класть бессмысленно, т.к. там больше ничего нет толкового.

Еще он прописывает свою DLL'ку в SPI/LSP. Там я тоже исправляю все (либа AVZ говорю, чтобы он сам сделал исправления, либо руками), но это не помогает.

Как с ним бороться? На www.viruslist.ru инфы по нему нет.

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\zcvwbar.dll','');
 QuarantineFile('C:\WINDOWS\system32\simp_dll.dll','');
 DeleteFile('C:\WINDOWS\system32\zcvwbar.dll');
 DeleteFile('C:\WINDOWS\system32\simp_dll.dll');
 BC_ImportALL;
 ExecuteSysClean;
 ExecuteRepair(14);
 BC_Activate;
 RebootWindows(true);
end.

"Пофиксите" в HijackThis

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

Внимание! После выполнения скрипта может пропасть связь с интернет. Чтобы её восстановить, скачайте заранее утилиту WinSockFix.

[PavelA]

Дополнительно: эта утилита winsockxpfix сбрасывает настройки сети.
Перед ее применением их желательно запомнить/записать

[Angel 2S2]

Загрузил

Результат загрузки
Файл сохранён как 070709_161802_virus_4692277a5f4e0.zip
Размер файла 105294
MD5 ebf5e39b9999e09a0ebe16d76cc3cc41

Только файл zcvwbar.dll теперь назыывается syoewefsrtobq.dll

Каспером и AVZ они (zcvwbar.dll, syoewefsrtobq.dll и др. (это один и тот же файл, просто когда его удаляешь, то после перезагрузки создается новый и с другим именем)) определяется как Trojan.Win32.Agent.afg

Добавлено через 1 минуту
Использовать WinSockFix не пришлось, все и так работает.

[Макcим]

У Вас есть расшареные паки, диски? Файрвол на компьютере установлен?
Просканируйте компьютер Касперским в безопасном режиме.

[Angel 2S2]

HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

Я это уже не один раз видел на разных компах, но никак не могу понять, что это такое?

[Макcим]

Создается при падении Windows.

[Angel 2S2]

У Вас есть расшареные паки, диски? Файрвол на компьютере установлен?
Просканируйте компьютер Касперским в безопасном режиме.

Папки расшаренные есть. Файрвол только на NAT сервере. (Это все на работе)

Каспера поставить не могу из-за отсутствия лицензий (начальство пока не готово закупать антивири, вот руками их и ловлю). А AVP-OnLine в безопасном кажется не заработает. Если только AVZ или CureIT.

[Макcим]

Папки расшаренные есть.

Вот он к Вам и лезет через папки...

Каспера поставить не могу из-за отсутствия лицензий (начальство пока не готово закупать антивири, вот руками их и ловлю).

Поставьте пробную версию, иначе мы "ручками" долго будем его ловить.

[PavelA]

Восстановление системы нужно отключить!!
Корзину почистить.
Подозреваю, что тут еще замешан файловый вирус. Надо скачать [b]Cure-It от Dr.Web[b]
и проверить в безопасном режиме ВЕСЬ диск, а не только экспресс-проверку.
На всякий пожарный может пригодиться Look2me-destroyer

[Angel 2S2]

Вот он к Вам и лезет через папки...

Но откуда? Он не у меня, а у юриста. Больше его нигде нет.

Добавлено через 50 секунд
Щас в безопасном проверю систему.

[PavelA]

корзину пока не чистите!!!

[Angel 2S2]

корзину пока не чистите!!!

ОК

Если не сложно, называйте меня на ТЫ (для всех). Не привык на ВЫ.

Добавлено через 35 минут
2 BackDoor.Voqa, которые я сам ставил. Вообщем это клиентская часть утилиты для удаленного администрирования Poison Ivy.

Trojan.Packed.76 (C:\WINDOWS\nqha.exe)

Удалил. AVZ ничего не нашел, кроме ошибок в SPI/LSP. Их я исправил, срадствами AVZ.

После перезагрузки AVZ опять нашел этот же троян, в этом же месте, но с другим именем. Т.ж. в SPI/LSP опять добавились записи трояна.

[PavelA]

По результатам анализа
avz00001.dta - SpamTool.Win32.Agent.u - новый
avz00002.dta - Trojan.Win32.Agent.afg
Кто есть кто не знаю. Думаю, это еще не все.

[Angel 2S2]

Что делать?

Добавлено через 3 минуты
Я эту систему уже вдоль и поперек вылизал, ничего нет, кроме найденного.
Но откуда dll'ка появляется после удаления понять не могу никак.
В автозапуске чисто.
Даже такие проги как a-squared Free 3.0 и a-squared HiJackFree 3.0.0.385 молчат.
В AutoRuns от Марка Руссиновича тоже ничего подозрительного не обнаружил.

Добавлено через 4 минуты

На всякий пожарный может пригодиться Look2me-destroyer

Запускаю, а там 2 кнопки и они заблокированы.

[PavelA]

Запускаю, а там 2 кнопки и они заблокированы

Ставишь "галочку". Она перестартовывает и можно будет сделать сканирование. Оно не помешает.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\simp_dll.dll - Trojan-Proxy.Win32.Pixoliz.fr (DrWEB: Trojan.Spambot)
  2. c:\\windows\\system32\\syoewefsrtobq.dll - Trojan.Win32.Msnetax.d (DrWEB: Trojan.Netqv)