Массовая рассылка почты

[anonim]

Касперский постоянно обнаруживает:

Потенциально опасное ПО:
Mass-mailer software

c:\windows\system32\services.exe

Процесс осуществляет массовую рассылку почты

Но лечить не хочет. Поэтому сетевой трафик полностью забит,
да и кто-то еще страдает, принимая мусор (не по моей воле) от меня.
Жду рекомендаций, файлы прилагаются.

[Muffler]

Выполните вот такой скрипт в AVZ.
AVZ -> Меню Файл -> Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\lzx32.sys','');
 QuarantineFile('C:\WINDOWS\v7.exe','');
 QuarantineFile('C:\WINDOWS\vmmreg32.exe','');
 QuarantineFile('C:\WINDOWS\System32\spoolsvv.exe','');
 QuarantineFile('C:\WINDOWS\System32\rpcc.exe','');
 QuarantineFile('C:\WINDOWS\System32\kernels32.exe','');
 QuarantineFile('C:\WINDOWS\System32\adirss.exe','');
 QuarantineFile('C:\WINDOWS\System32\adirka.exe','');
 DeleteFile('C:\WINDOWS\System32\lzx32.sys');
 BC_DeleteSvc('lzx32');
 BC_ImportALL;
 BC_Activate;
RebootWindows(false);
end.

После выполнения скрипта, компьютер перезагрузится.
После перезагрузки, пришлите попавшие в карантин файлы согласно правилам. (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

[anonim]

Скрипт выполнил, карантинные файлы (очень много, думаю некоторые там по недоразумению) отправил, жду дальнейших указаний...
Благодарю за отклик.

[Muffler]

Не дожидаясь ответа анлитиков, могу сразу сказать, что мы у вас убили новую версию Trojan-Clicker.Win32.Costrat.

Добавлено через 7 минут
Выполните вот такой скрипт в AVZ.
AVZ -> Меню Файл -> Выполнить скрипт:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('v7.exe');
 DeleteFile('C:\WINDOWS\vmmreg32.exe');
 DeleteFile('C:\WINDOWS\System32\spoolsvv.exe');
 DeleteFile('C:\WINDOWS\System32\rpcc.exe');
 DeleteFile('C:\WINDOWS\System32\kernels32.exe');
 DeleteFile('C:\WINDOWS\System32\adirss.exe');
 DeleteFile('C:\WINDOWS\System32\adirka.exe');
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта, компьютер перезагрузится.
После перезагрузки, повторите все три лога по правилам.

[anonim]

Очередной скрипт выполнен, логи прилагаются.
Жду дальнейших советов...

[Muffler]

Выполните вот такой скрипт в AVZ.
AVZ -> Меню Файл -> Выполнить скрипт:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32:lzx32.sys:$DATA',' ');
 QuarantineFile('C:\WINDOWS\system32:lzx32.sys',' ');
 DeleteFile('C:\WINDOWS\system32:lzx32.sys:$DATA');
 DeleteFile('C:\WINDOWS\system32:lzx32.sys');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(false);
end.

После выполнения скрипта, компьютер перезагрузится.
После перезагрузки, пришлите попавшие в карантин файлы согласно правилам. (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

[anonim]

Скрипт выполнен, карантинные файлы отправлены.
Жду дальнейших указаний...

[Muffler]

Пофиксите в HijackThis вот эти строки:

O20 - AppInit_DLLs:

O23 - Service: Microsoft ASPI Manager (aspi113210) - Unknown owner - C:\WINDOWS\System32\aspi17014.exe (file missing)

Активного заражения больше невидно.
Ещё жалобы есть?

[anonim]

Последнее действие выполнил, вроде жалоб больше нет:
сетевой трафик теперь успокоился и похож на течение Днепра в его нижнем течении в отличие от предыдущего Терека в его верхнем течении.
Большое спасибо от рядового пользователя сети (хотя и с большим стажем программиста) Вашей бескорыстной службе ~virus.911

[Макcим]

Сделайте ещё раз лог HijackThis.

[anonim]

Пожалуйста, лог-файл...

[drongo]

всё ок, только желательно отключить не нужные сервисы (типа нет митинг и справку удалённого стола)Также если месенжером от logitech не пользуетесь, удалить.У вас же скайп есть
Удалите старую версию касперского и поставьте новую.

Чтобы уменьшить шанс заражения, советую на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : http://virusinfo.info/showthread.php?t=3519
Мы будем Вам очень благодарны!

Удачи!

[anonim]

Благодарю за хлопоты. А с содержимым каталога Quarantine можно расправиться - в смысле удалить?

[drongo]

можно удалить, можно на память оставить- ваше право

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 48
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32:lzx32.sys - Trojan-Clicker.Win32.Costrat.bc (DrWEB: Trojan.Spambot)
  2. c:\\windows\\system32:lzx32.sys:$data - Trojan-Clicker.Win32.Costrat.bc (DrWEB: Trojan.Spambot)