Win32.Agent.pz - ntos.exe

[Wupp]

Добрый вечер. Как и многие хочу попросить у Вас квалифицированную помощь. Потому, как в данном случае, не хочу сделать хуже чем есть.

Симптомы:

- Система Win XP стала нестабильна при работе c Internet Explorer 7 (в течение пару часов, проводимых в Интернете, iexplore.exe разрастается до 700-800MB)
- Выход из Explorer часто происходит не правильно (с дополнительными табличками об ошибке), процес продолжает висеть в памяти
- Старт компьютера от момента окна с паролем до момента, когда диск начинает снова работать, происходит достаточно долго (это возможно и не вирус, а сбой какого-то сервиса)
- Войдя в Online Banking www.sparkasse.de после ввода своих учетных данных выводится внутреннее окно на их странице для ввода 30 неиспользованных ключей для транзакций (разумеется не вводил)
- SpyBot обнаруживает Win32.Agent.pz - ntos.exe, Ad-Aware также...

В системе стоит последний NOD Eset Smert Security 3.0.566.0 + сегодняшняя база 2716 (20071211). При полном анализе ничего не определяет.

Прочитав руководство, надеюсь ничего не пропустил, прикрепляю файлы логов. Если что не так - укажите, исправлю.

Заранее благодарен Вам за помощь!!!

[V_Bond]

пофоксите ...

F2 - REG:system.ini: UserInit=userinit.exe,C:\WINDOWS\system32\ntos.exe,

выполните скрипт....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...
повторите логи...

[Wupp]

Спасибо. Карантин выслал. Профиксил, высылаю логи...

Надеюсь в них теперь уже всё чисто?

[Wupp]

Пока жду ответ, проверил еще раз SpyBot.

Ntos.exe не нашел, но некоторые папки и библиотеки остались:

Win32.Agent.pz ->
--> библиотеки c:\windows\system32\wsnpoem\video.dll
--> библиотеки c:\windows\system32\wsnpoem\audio.dll
--> програмная папка c:\windows\system32\wsnpoem\

[V_Bond]

среди активных из не видно но зачистим на всякий случий ....
выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('c:\windows\system32\wsnpoem\video.dll');
 DeleteFile('c:\windows\system32\wsnpoem\audio.dll');     
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

выполните пункт2 правил ...

[Wupp]

Огромное спасибо за помощь!!! Вроде всё исправили. Будем тестировать.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.adj (DrWEB: Trojan.Proxy.2071)