Троян Mutant\Horse\Pandex

[mitiay]

Добрый день,

Набор симптомов, как я уже понял из других топиков, стандартный. Отсылка спама с компа. Symantec находит то Trojan Horse, то Trojan Pandex. Удаляет, но после каждой перезагрузки вылезает новый зараженный файл. Один раз было, что после перезагрузки у меня не было прав админа, а под administrator войти не удавалось.

AVZ тоже не справляется.

Пофиксил хайджеком windows\system32\winnt32.dll, однако проблему это не решило. Пробовал использовать один из скриптов для AVZ отсюда. Не помогает, видимо потому что имена файлов другие.

Логи прикладываю уже после фикса.

Помогите пожалуйста.
Заранее спасибо.

[Гриша]

Где логи?

[mitiay]

Блин, логи не прикрепились.

Добавлено через 14 минут

Не удается прикрепить.

Показывает:
Upload Errorsvirusinfo_syscheck.zip:
Attachment in Progress. Can be deleted here.
virusinfo_syscure.zip:
Attachment in Progress. Can be deleted here.
hijackthis.log:
Attachment in Progress. Can be deleted here.

[Гриша]

Залейте сюда http://virusinfo.ifolder.ru/ и ссылки в тему

[mitiay]

Все, разобрался. Вот файлы.

[mitiay]

Файлы-то я запостил, но вот что-то их не смотрит никто? :-/

[Гриша]

Отключите восстановление системы и интернет!

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('E:\WINDOWS\system32\WinNt32.dll','');
 DelBHO('{7E853D72-626A-48EC-A868-BA8D5E23E045}');
 DeleteService('Tbi74');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Tbi74.sys','');
 DeleteService('Ryg75');
 DeleteService('Rai21');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Ryg75.sys','');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Rai21.sys','');
 DeleteService('Jra32');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Jra32.sys','');
 DeleteService('Hpx65');
 DeleteService('Fnv65');
 DeleteService('Fmt63');
 DeleteService('Els86');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Hpx65.sys','');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Fnv65.sys','');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Fmt63.sys','');
 QuarantineFile('E:\WINDOWS\System32\Drivers\Els86.sys','');
 DeleteFile('E:\WINDOWS\System32\Drivers\Els86.sys');
 DeleteFile('E:\WINDOWS\System32\Drivers\Fmt63.sys');
 DeleteFile('E:\WINDOWS\System32\Drivers\Fnv65.sys');
 DeleteFile('E:\WINDOWS\System32\Drivers\Hpx65.sys');
 DeleteFile('E:\WINDOWS\System32\Drivers\Jra32.sys');
 DeleteFile('E:\WINDOWS\System32\Drivers\Rai21.sys');
 DeleteFile('E:\WINDOWS\System32\Drivers\Ryg75.sys');
 DeleteFile('E:\WINDOWS\System32\Drivers\Tbi74.sys');
 DeleteFile('E:\WINDOWS\system32\WinNt32.dll');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи.

[mitiay]

Карантин прислал через форму около часа назад.
Новые файлы логов здесь.

[Гриша]

Отключите восстановление системы,сколько раз говорить?

В логах чисто,жалобы есть?

Было: winnt32.dll - Trojan-Downloader.Win32.Mutant.acm

[mitiay]

Прогнал все проверки, вроде порядок.

Спасибо огромное.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 28
• В ходе лечения обнаружены вредоносные программы:
  
  1. e:\\system volume information\\_restore{90dc3775-0840-428d-8dac-6fad76fc5c43}\\rp355\\a0144552.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
  2. e:\\system volume information\\_restore{90dc3775-0840-428d-8dac-6fad76fc5c43}\\rp355\\a0144571.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
  3. e:\\system volume information\\_restore{90dc3775-0840-428d-8dac-6fad76fc5c43}\\rp355\\a0144608.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
  4. e:\\system volume information\\_restore{90dc3775-0840-428d-8dac-6fad76fc5c43}\\rp355\\a0144626.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
  5. e:\\system volume information\\_restore{90dc3775-0840-428d-8dac-6fad76fc5c43}\\rp355\\a0144647.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
  6. e:\\system volume information\\_restore{90dc3775-0840-428d-8dac-6fad76fc5c43}\\rp355\\a0144669.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
  7. e:\\system volume information\\_restore{90dc3775-0840-428d-8dac-6fad76fc5c43}\\rp355\\a0144689.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
  8. e:\\system volume information\\_restore{90dc3775-0840-428d-8dac-6fad76fc5c43}\\rp356\\a0144927.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)
  9. e:\\windows\\system32\\winnt32.dll - Trojan-Downloader.Win32.Mutant.acm (DrWEB: BackDoor.Bulknet.206)