тело не найдено

[intrepid]

я уверен что в этой машине есть вирус. только вот тело найти не могу
на файерволе видно как что-то стучится на урл (.......не знаю уместно ли тут урлы писать на которые вирус стучится?) и аутпост тоже показывает. пробовал отследить через portexplorer но увидел странную вещь (как собссно и в аутпосте) : на урлы лезут .....все сетевые приложения (аська , скайп , и т.п.) .
логи прилагаются.

[PavelA]

virusinfo_syscure.zip нужен, а карантин надо удалять.

[intrepid]

извините попутал. сейчас исправлю.

Добавлено через 49 минут

может я что-то неправильно делаю, но я делаю всё согласно правилам , а у меня получается файл virusinfo_cure.zip .я уже три раза выполнял скрипт №3 .подскажите плз в чем моя ошибка?

[PavelA]

Это радует, что делаете по Правилам.

Нужно делать доп. лог http://virusinfo.info/showthread.php?t=10387 в защищ. режиме.

[intrepid]

Это радует, что делаете по Правилам.

Нужно делать доп. лог http://virusinfo.info/showthread.php?t=10387 в защищ. режиме.

готово. лог выложен.

[PavelA]

И где он? Не вижу.

[intrepid]

дык это... через аплоад залил. файл называется avz_sysinfo.zip

[PavelA]

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\OP_CACHE.IDX','');
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\OP_CACHE.ATR','');
 QuarantineFile('C:\windows\Installer\{199B7F78-69B7-47C5-8D4B-A3ED1391FB6B}\NewShortcut1_8C7A59A89ABE459A9A9308C281A4A264.exe','');
 QuarantineFile('C:\windows\system32\msindeo.dll','');
 DeleteFile('C:\windows\system32\msindeo.dll');
 BC_DeleteFile('C:\windows\system32\msindeo.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки.
Прислать карантин согласно приложения 3 правил.

Попытаться сделать станд. скрипт №3.

Лог в Приложении.

[intrepid]

скрипт выполнился только в безопасном режиме. в обычном режиме выползала ошибка failed to set data for "DisplayName" .
скрипт №3 выполнил , архив получился тем не менее virusinfo_cure.zip
прилагаю.

[PavelA]

Лог так и не создался после №3?

Файла карантина пока не увидел.

[intrepid]

Лог так и не создался после №3?

Файла карантина пока не увидел.

нет , не создался файл карантина называется 2007-10-16.zip выложен через аплоад, через ссылку вверху. еще раз выложить?

[PavelA]

Ответ от сервера пришел, что файл закачан?
Повтори загрузку, не вижу я его.

[intrepid]

Результат загрузки

Файл сохранён как071016_081859_virusinfo_cure_4714ba432e29a.zipР азмер файла212638MD5edb1250a2757bc91ce5e57cae573c25dФайл закачан, спасибо!

[PavelA]

Файлы в карантине чистые, кроме 'C:\windows\system32\msindeo.dll' - Trojan-Spy.Win32.Agent.rb (Ikarus) Касперский его не знает.
Интересно, что на файле есть копирайт Майкрософт.

Обнаружился еще один: C:\WINDOWS\mprx.exe, м.б. с компанией.

Добавлено через 7 минут

http://vil.nai.com/vil/content/v_120505.htm - описание. Не могу скопировать имена файлов с той страницы.

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\mprx.exe','');
QuarantineFile('C:\WINDOWS\mhx32.dll','');
QuarantineFile('C:\WINDOWS\mhd32.dll','');
QuarantineFile('C:\WINDOWS\send.on','');
QuarantineFile('C:\WINDOWS\system.exe','');
DeleteFile('C:\WINDOWS\mprx.exe');
DeleteFile('C:\WINDOWS\mhx32.dll');
deleteFile('C:\WINDOWS\mhd32.dll');
DeleteFile('C:\WINDOWS\send.on');
DeleteFile('C:\WINDOWS\system.exe');
BC_DeleteFile('C:\WINDOWS\mprx.exe');
BC_DeleteFile('C:\WINDOWS\mhx32.dll');
BC_deleteFile('C:\WINDOWS\mhd32.dll');
BC_DeleteFile('C:\WINDOWS\send.on');
BC_DeleteFile('C:\WINDOWS\system.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[intrepid]

скрипт выполнил . тока в безопасном режиме. в обычном опять выдал сообщение failed to set data for "DisplayName" .
карантин прислать?

[drongo]

Да

[PavelA]

msindeo.dll - Trojan-Spy.Win32.Goldun.se по Касперскому.

[intrepid]

Да

Файл закачан, спасибо!

Добавлено через 6 минут

msindeo.dll - Trojan-Spy.Win32.Goldun.se по Касперскому.

я его не нашел (

[PavelA]

[/B]
я его не нашел (

Я его скриптом убил Он ворует пароли, надо менять.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 29
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\msindeo.dll - Trojan-Spy.Win32.Goldun.se (DrWEB: Trojan.PWS.GoldSpy)