Жуткая активность, при полном бездействии...

**Gena77** · 21.03.2008, 02:55

Прихожу с работы, у компа жена:
- Милый, там какие-то трояны были, я их удалила...
-

!?
- Ну окошки, такие Avast? Я там на кнопку нажимала "удалить"...

Запускаю AVZ. Хм, чисто.

Ну и слава Богу! Но думаю, проверюсь. Без IE соединение и... Я ничего не делаю, сижу смотрю на монитор. Состояние подключения. Активность на принято больше 300 килобайт в минуту, на отправлено больше 100 килобайт...
Чего отправляет и кому!? Что принимает, от кого и куда?
А может я просто мнительный?

На всякий случай всё проверил еще раз, трафик тикает, вот выкладываю...
Только не ругайте сильно, если ошибся.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 21.03.2008, 03:31

Выполните скрипт в AVZ:

Код:

begin
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Jpu04\0000', 'CSConfigFlags', '1');
 BC_QrFile('C:\WINDOWS\System32\drivers\Jpu04.sys');
 BC_QrFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_QrFile('C:\DOCUME~1\889C~1\LOCALS~1\Temp\winlogon.exe');
 BC_DeleteSvc('Jpu04');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\Jpu04.sys');
 BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_DeleteFile('C:\DOCUME~1\889C~1\LOCALS~1\Temp\winlogon.exe');
 BC_Activate;
 RebootWindows(true);
end.

Компьютер перезагрузится.
Затем второй скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\Jpu04.sys','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 QuarantineFile('C:\DOCUME~1\889C~1\LOCALS~1\Temp\winlogon.exe','');
 DeleteFile('C:\DOCUME~1\889C~1\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Jpu04.sys');
BC_ImportALL;
BC_DeleteSvc('asc3550p');
BC_DeleteSvc('Jpu04');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=20200).
Сделайте новые логи, начиная с п.10 правил.

Внимание! Есть небольшая вероятность, что после первого скрипта система не сможет запуститься. В этом случае в загрузочном меню по F8 выберите "Загрузка последней удачной конфигурации".

**Gena77** · 21.03.2008, 04:14

Карантин выслал. Вот логи.
Перезагрузился после скриптов без проблем.

**Gena77** · 21.03.2008, 04:19

Ну и кстати, посмотрел теперь, всё, ничего не шлется и не получается...
Тишина.

Трафик замерз!
И что же это было?

**Bratez** · 21.03.2008, 05:03

Теперь все чисто. Осталось пофиксить в HijackThis:

Код:

O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)

В карантин попал только WLCtrl32.dll - свеженький из семейства Trojan.Pandex.

**Gena77** · 21.03.2008, 10:00

Пофиксил. Всё работает без проблемсов!
И что могу сказать? И снова же - спасибо любимому спасательному сайту!!!
Ваше дело правое! Вы их всех победите! (Это я про вирусы.)