Возможно TrojanDownloader:Win32/Cutwail.S (Microsoft)

**Garkin** · 28.05.2008, 04:45

XP SP2, использую Nod32 v3.0.650 обновляется регулярно, но ни Нод32 ни сегодняшний CureIt ничего не находят. А вирус все-таки есть - постоянно используется интернет. Сразу после включения висит 2 процесса iexplore.exe, со временем добавляются новые. Если их убивать - в интернет не лезет, но через пару минут iexplore.exe есть опять. Также после каждой перезагрузки в system32 появляются (обновляются если не удалял) 3 файла - WinNt32.dl_, WinNt32.dll и WinCtrl32.dll, а также system32\drivers\Msx17.sys. Вирустотал обнаруживает вирус в WinNt32.dll причем только 2-мя из 32-х антивирусов (http://www.virustotal.com/ru/analisi...8511ab3adad569), Msx17.sys - скопировать во время работы не удается, еще не проверял.
Спасибо за внимание, надеюсь на помощь

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Гриша** · 28.05.2008, 09:11

Отключите антивирус и интернет!

Скачать,меню,File,появится аналог проводника,найти:WinNt32.dll,Msx17.sys,tcpsr.sys,W inNt32.dl_,WinCtrl32.dll,правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\WINDOWS\System32\Drivers\Sye73.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Sye28.sys','');
 QuarantineFile('D:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 QuarantineFile('D:\WINDOWS\system32\drivers\runtime2.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Kqv17.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Iot28.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Ekp28.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Agm74.sys','');
 QuarantineFile('D:\WINDOWS\System32\drivers\tcpsr.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Msx17.sys','');
 QuarantineFile('D:\WINDOWS\system32\WinNt32.dll','');
 DeleteService('Ekp28');
 DeleteService('Agm74');
 DeleteService('tcpsr');
 DeleteService('Sye73');
 DeleteService('runtime2');     
 DeleteService('smtpdrv');     
 DeleteService('Kqv17');
 DeleteService('Iot28');     
 DeleteService('Sye28');     
 DeleteService('Msx17');      
 DeleteFile('D:\WINDOWS\system32\WinNt32.dll');
 DeleteFile('D:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('D:\WINDOWS\System32\Drivers\Msx17.sys');
 DeleteFile('D:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Agm74.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Ekp28.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Iot28.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Kqv17.sys');
 DeleteFile('D:\WINDOWS\system32\drivers\runtime2.sys');
 DeleteFile('D:\WINDOWS\system32\WinNt32.dl_');
 DeleteFile('D:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Sye28.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Sye73.sys');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('Ekp28');
 BC_DeleteSvc('Agm74');
 BC_DeleteSvc('tcpsr');
 BC_DeleteSvc('Sye73');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('smtpdrv');
 BC_DeleteSvc('Kqv17');
 BC_DeleteSvc('Iot28');
 BC_DeleteSvc('Sye28');
 BC_DeleteSvc('Msx17');
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:http://virusinfo.info/upload_virus.php?tid=23544

Повторите логи.