Не получается избавиться от трояна Trojan.Spy.Win32.Agent.bsfl [not-a-virus:RemoteAdmin.Win32.RAdmin.20, Trojan-Spy.Win32.Agent.bsfl ]

[AfgansTea]

Здравствуйте.

Kis 2010 нашел файл netdv.dll и определил его как троянскую программу Trojan.Spy.Win32.Agent.bsfl, однако все попытки удалить его ни привели ни к какому результату. Система перезагружается и антивирус снова выдает то же сообщение. Проверка в безопасном режиме DrWeb CureIt дала тот же результат - троян программа видит, но удалить его, почему-то, не может

[Info_bot]

Уважаемый(ая) AfgansTea, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Никита Соловьев]

Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\svchost.win');
 TerminateProcessByName('C:\Windows\System32\wincore.exe');
 QuarantineFile('C:\Windows\System32\wincore.exe','');
 QuarantineFile('C:\Windows\system32\netdv.dll','');
 QuarantineFile('C:\Windows\system32\svchost.win','');
 QuarantineFile('C:\Windows\security\smss.exe','');
 QuarantineFile('C:\Windows\system32\userinit.win','');
 QuarantineFile('C:\Windows\system32\wincore.exe','');
 QuarantineFile('C:\Windows\system32\athihvs.dll','');
 QuarantineFile('C:\Windows\system32\ADMDLL.dll','');
 QuarantineFile('c:\windows\system32\svchost.win','');
 QuarantineFile('C:\Windows\system32\Netdv.dll','');
 DeleteFile('C:\Windows\system32\Netdv.dll');
 DeleteFile('c:\windows\system32\svchost.win');
 DeleteFile('C:\Windows\system32\ADMDLL.dll');
 DeleteFile('C:\Windows\system32\wincore.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Win');
 DeleteFile('C:\Windows\system32\userinit.win');
 DeleteFile('C:\Windows\security\smss.exe');
 DeleteFile('C:\Windows\system32\svchost.win');
 DeleteFile('C:\Windows\system32\netdv.dll');
 DeleteFile('C:\Windows\System32\wincore.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

Компьютер перезагрузится.

Файл quarantine.zip пришлите нам, используя ссылку "прислать запрошенный карантин" над первым сообщением в этой теме.

Повторите действия, указанные в правилах. Прикрепите новые отчеты AVZ/hijackthis.

[AfgansTea]

После запуска скрипта и перезагрузки система перестала работать. После появления заставки "Добро пожаловать" появлялся просто черный экран с указателем, поэтому пришлось запускать процедуру восстановления более раннего состояния системы. Файл quarantine.zip сохранился в папке avz, новые логи (сделанные после восстановления) прилагаю также

[Никита Соловьев]

RAdmin Вы самостоятельно устанавливали?

Выполните скрипт в AVZ:

begin
 ExecuteAVUpdate;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\wincore.exe');
 DeleteFile('C:\Windows\system32\wincore.exe');
 DeleteFile('C:\Windows\security\smss.exe');
 DeleteFile('C:\Windows\system32\Netdv.dll');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

Компьютер перезагрузится.

Повторите действия, указанные в правилах. Прикрепите новые отчеты AVZ/hijackthis.

[AfgansTea]

RAdmin Вы самостоятельно устанавливали?

Нет(

[AfgansTea]

Что же делать дальше? Вирус по прежнему активен((

[thyrex]

Вы запускаете AVZ от имени Администратора по правой кнопке мыши при выполнении скрипта?

- - - Добавлено - - -

+ Сделайте лог TDSSkiller

[AfgansTea]

Вы запускаете AVZ от имени Администратора по правой кнопке мыши при выполнении скрипта?

- - - Добавлено - - -

+ Сделайте лог TDSSkiller

Нет, я просто нахожусь под учетной записью администратора

[Никита Соловьев]

Нет, я просто нахожусь под учетной записью администратора

В среде Windows 7 этого не достаточно.

[AfgansTea]

Продлелал заново все указанные процедуры, каждый раз запуская программы от имени администратора. Была та же проблема с запуском системы и последующим восстановлением более раннего ее состояния.
Вот новые логи и лог TDSSkiller'а:

- - - Добавлено - - -

Файл карантина тоже послал заново

[thyrex]

Сделайте лог ComboFix

[AfgansTea]

Готово:

[thyrex]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt в корень диска С

KillAll::

File::
c:\windows\system32\RDKXcRP.exe
c:\windows\system32\ahRWdIl.exe
c:\windows\system32\vjFZmDF.exe
c:\windows\system32\qfBpmMI.exe
c:\windows\system32\fzrXwNA.exe
c:\windows\system32\Netdv.dll
c:\windows\system32\wincore.exe

Driver::

Folder::

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run]
"Win"=-

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

Проверьте наличие файла userinit.exe в папке system32
В случае отсутствия восстановите с дистрибутива

[AfgansTea]

Прошу Вас:

[thyrex]

Что сейчас с проблемой?

[AfgansTea]

Что сейчас с проблемой?

Касперский перестал ругаться, запускал проверу скриптом AVZ он писал о подозительных файлах svhost.win и userinit.exe. Прилагаю лог:

[thyrex]

Лог HiJack еще раз сделайте

[AfgansTea]

Сделал:

[thyrex]

RAdmin удалите через Установку и удаление программ