msftp.dll ... и другие. Как их убить

[sersa78]

Глючит интернет то страницы не открывает то скорость упала в двое, переустановка винды не дала результата, а все логдиски фарматировать неохота каспер кое что полечил да на msftp.dll заглючил помогите убить этого гада

[wise-wistful]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\454\local settings\application data\cftmon.exe');
 TerminateProcessByName('c:\windows\system32\drivers\spool.exe');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Oua38.sys','');
 QuarantineFile('C:\WINDOWS\System32\msftp.dll','');
 QuarantineFile('c:\windows\system32\drivers\spool.exe','');
 QuarantineFile('c:\documents and settings\454\local settings\application data\cftmon.exe','');
 DeleteFile('c:\documents and settings\454\local settings\application data\cftmon.exe');
 DeleteFile('c:\windows\system32\drivers\spool.exe');
 DeleteFile('C:\WINDOWS\System32\msftp.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=17548

Повторите логи.

[sersa78]

залил карантин по этой ссылке: http://virusinfo.info/upload_virus.php?tid=17548

процесы spool stfmon пропали инет работает правда с адсл 512 стал на уровне диалапа 50 кбит работать. Скидываю логи.

[wise-wistful]

В карантине C:\WINDOWS\System32\msftp.dll - Trojan-Downloader.Win32.Small.hwc
c:\windows\system32\drivers\spool.exe и c:\documents and settings\454\local settings\application data\cftmon.exe - Backdoor.Win32.Agent.ehg

Не все захотели просто так уйти.
Выполните в АВЗ

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Oua38.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Eko51.sys','');
 QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
 DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
 BC_DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=17548

[sersa78]

залил карантин - http://virusinfo.info/showthread.php?t=17548

[wise-wistful]

Попробуйте поскать через АВЗ Сервис--поиск файлов на диске Oua38.sys и Eko51.sys. Они упорно не хотят в карантин. Возможно, что это только следы.
sysfldr.dll по вирустотал

Антивирус Версия Обновление Результат
AntiVir 7.6.0.62 2008.02.04 BDS/Backdoor.Gen
Avast 4.7.1098.0 2008.02.04 Win32:Agent-RKM
BitDefender 7.2 2008.02.04 Backdoor.SDBot.DFCV
DrWeb 4.44.0.09170 2008.02.04 BackDoor.Mahaon
eSafe 7.0.15.0 2008.01.28 suspicious Trojan/Worm
Ikarus T3.1.1.20 2008.02.04 Trojan-Proxy.Win32.Webber.U
Panda 9.0.0.4 2008.02.04 Suspicious file
Sophos 4.26.0 2008.02.04 Mal/Emogen-G
Webwasher-Gateway 6.6.2 2008.02.04 Trojan.Backdoor.Backdoor.Gen

Вот и вирлаб отписался по его версии Trojan.Win32.Agent.ewc

[Bratez]

Пофиксите в HijackThis:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - Winlogon Notify: sysfldr - C:\WINDOWS\SYSTEM32\sysfldr.dll

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\sysfldr.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Oua38');
BC_DeleteSvc('Eko51');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи, начиная с п.10 правил.

[sersa78]

поиск через АВЗ Сервис--поиск файлов на диске Oua38.sys и Eko51.sys ничего не дал.
Выкладываю логи virusinfo_syscheck.zip иhijackthis.log согласно правил виполняя с пункта 10.

[rubin]

Пофиксьте в HiJackThis:

O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)

перезагрузитесь и сделайте лог hijackthis еще разок...

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Пора ставить SP2 - потребует повторная активация

[sersa78]

после перезагрузки

не смог зайти в винду - запуск Windows и зависание
пришлось в безопасном режиме заходить и создавать нов уч запись после этого смена пользователей дало зайти под старым именем

Скорость интернета увеличилась но прыгает от 20 до 50 килобайт при каждом повторном тесте
Заметил что страницы открывает быстро а закачка файлов на уровне диалапа

сделал лог hijackthis

[rubin]

В остальном все чисто... Какие жалобы еще?

[sersa78]

после выполнения заданий в сообщении № 7 и № 9 перестал запускаться windows . идет загрузка и после приглашения зависание. нажимаю резет и после этого проходит нормально загрузка и вход в виндовс.
загружаюсь без проблем только в только в безопасном режиме.

[sersa78]

вот лог

[sersa78]

что то можна сделать или прийдется сносить винду? Посоветуйте!

[V_Bond]

что то можна сделать ....Посоветуйте!

1 срочно ставить сп 2
2 проверить железо (особенно блок питания и видео )

[akok]

Попробуйте так...
1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 ExecuteRepair(6);
 ExecuteRepair(9);
 ExecuteRepair(16);
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

[sersa78]

1 срочно ставить сп 2
2 проверить железо (особенно блок питания и видео )

машина конь никаких проблем с железом все 2 года как часы работало птфю-птфю

Добавлено через 2 минуты

скрипт не помог
заметил если после резета виндовс скандиском делает проверку то винда загружается

[V_Bond]

машина конь никаких проблем с железом все 2 года как часы работало птфю-птфю

блок питания - если не бренд наверняка не выдает ....(2 года для него много )
ну винчестер по вашим же словам нуждается в проверке ....

[sersa78]

в безопасном режиме выполнил скрипт лечения и тп из АВЗ после этого уже 3 раза загружается винда без проблем вот лог
что это могло быть

[V_Bond]

в логах чисто ... да и скрипт лечения ничего не лечил .... так что загрузка произошла не из-за него ...