smtpdrv.sys

[Димитрий]

Здравствуйте, прошу Вашей помощи.
Аваст выдает сообщение об обноружении сабжа и начинает забиваться канал подключения к интернету. Выполнил Ваши инструкции и вкладываю требующиеся файлы.
Необычный момент - после АВЗешной проверки IE из 7 превратился обратно в 6...

[Bratez]

Пофиксите в HijackThis:

O20 - AppInit_DLLs:  wdmicpui.dll e1.dll confbrw.dll brwstat.dll hplun.dll 
O20 - Winlogon Notify: brwmgr - brwmgr32.dll (file missing)
O20 - Winlogon Notify: mcd3stor - C:\WINDOWS\system32\mcd3stor.dll (file missing)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Vae15');
 SetServiceStart('Vae15', 4);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Vae15.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Vae15.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
BC_ImportALL;
BC_DeleteSvc('Vae15');
BC_DeleteSvc('smtpdrv');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=16808).
Сделайте новые логи.

[drongo]

NEw_exe.mdb- что это?

[Димитрий]

NEw_exe.mdb- что это?

Это автозапуск моей рабочей программы (MSAccess 97)

Карантин отправил, сделал новые логи:

[Макcим]

Выполните скрипт в AVZ

begin
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Vae15\0000', 'CSConfigFlags', '1');
 BC_DeleteSvc('Vae15');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Vae15.sys');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

Повторите логи. Прикрепите также boot_clr.log из папки AVZ.

[Димитрий]

Выполнил.

[Макcим]

Выполните скрипт в AVZ

begin
 BC_DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
 BC_DeleteSvc('smtpdrv');
 BC_Activate;
 RebootWindows(true);
end.

Повторите логи.

[Димитрий]

Выполнил.

[Bratez]

Теперь все чисто.

Почистите от греха карантин ДрВеба:
C:\Documents and Settings\PDY.ALMATRADE\DoctorWeb\Quarantine

Посмотрите, нужно ли вам что-то из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
>> Безопасность: разрешен автоматический вход в систему

Лишнее отключим.

[Димитрий]

Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены