немогу удалить троян

[zlost]

както на комп попала прога хр секюрити центр, но отношения в майкрасофт она никакова неимеет, ток постоянно и назойливо предлогает установить 3 дополнения которые аутпост распознал как трояны , да ешои заплотить за них.
удалить никак немогу((

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\afw.sys','');
 QuarantineFile('C:\WINDOWS\system32\247880\247880.dll','');
 QuarantineFile('c:\whwtwq.exe','');
 QuarantineFile('C:\WINDOWS\system32\iSecurity.cpl','');
 QuarantineFile('C:\Documents and Settings\zlost\cftmon.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Rmf33.sys','');
 DeleteService('Rmf33');
 SetServiceStart('Rmf33', 4);
 QuarantineFile('C:\WINDOWS\system32\Drivers\Rmf33.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Rmf33.sys');
 DeleteFile('C:\Documents and Settings\zlost\cftmon.exe');
 DeleteFile('c:\whwtwq.exe');
 DeleteFile('C:\WINDOWS\system32\247880\247880.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить карантин по красной ссылке. Сделать новые логи.
Добра много наловили, будьте готовы к борьбе.

[zlost]

Файл сохранён как 080611_031642_virusinfo_cure_484f89eaa61c1.zip
Размер файла 229357
MD5 24019aa31aeab213831ffcdc1f2d1891

[zlost]

логи

[PavelA]

'C:\WINDOWS\system32\iSecurity.cpl' - Trojan.Win32.Emgr.af по Касперскому.
'C:\WINDOWS\system32\247880\247880.dll' - Trojan.Zlob зверь даже по Симантеку.

Профиксить:

O2 - BHO: iSecurity - {A8311E8F-E459-4D22-89B4-CB9DCF10A425} - iSecurity.cpl (file missing)
O4 - HKLM\..\Run: [iSecurity applet] rundll32.exe iSecurity.cpl,SecurityMonitor
O4 - Startup: .protected
O4 - Global Startup: .protected
O20 - AppInit_DLLs: iSecurity.cpl
O21 - SSODL: iSecurity - {A8311E8F-E459-4D22-89B4-CB9DCF10A425} - iSecurity.cpl (file missing)

Уже стало меньше, не еще не все.
Надо скачать ICeSword и в нем удалить:
'C:\WINDOWS\system32\Drivers\Rmf33.sys'
'C:\WINDOWS\system32\WinNt32.dll'
После этого профиксить строчку с 'C:\WINDOWS\system32\WinNt32.dll' в HijackThis
Затем выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('Rmf33', 4);
 DeleteService('Rmf33');
 DeleteFile('C:\Program Files\iSecurity\v12\iSecurity.cpl');
 DeleteFile('C:\WINDOWS\system32\iSecurity.cpl');
 DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Rmf33.sys');
 DeleteFile('WinNt32.dll');
 DeleteFile('iSecurity.cpl');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.

По окончанию всего сделать новые логи.

[zlost]

логи

[PavelA]

Вот это профиксить:
O2 - BHO: 247880 helper - {6B5CFD66-1F55-4FC2-B5AF-36B66E7CFE6A} - (no file)

Лог AVZ новый или старый, а то он не стыкуется с Hijack.

[zlost]

зделал ешораз
старый логг архив надо удалять когда проверку делаеш? чото эт помоему опять старый((

[Rene-gad]

Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Rmf33');
 DelBHO('{F10587E9-0E47-4CBE-84AE-7DD20B8684BB}');
 DelBHO('{A8311E8F-E459-4D22-89B4-CB9DCF10A425}');
 QuarantineFile('iSecurity.cpl','');
 QuarantineFile('WinNt32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Rmf33.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\a31z9x2k.SYS','');
 QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
 QuarantineFile('C:\WINDOWS\system32\iSecurity.cpl','');
 QuarantineFile('C:\WINDOWS\Resources\KbdAlrt.dll','');
 QuarantineFile('C:\Program Files\iSecurity\v12\iSecurity.cpl','');
 QuarantineFile('C:\Program Files\IE Extensions\cj.v5.dll','');
 DeleteFile('C:\Program Files\IE Extensions\cj.v5.dll');
 DeleteFile('C:\Program Files\iSecurity\v12\iSecurity.cpl');
 DeleteFile('C:\WINDOWS\Resources\KbdAlrt.dll');
 DeleteFile('C:\WINDOWS\system32\iSecurity.cpl');
 DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\a31z9x2k.SYS');
 DeleteFile('C:\WINDOWS\system32\Drivers\Rmf33.sys');
 DeleteFile('WinNt32.dll');
 DeleteFile('iSecurity.cpl');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки закачайте карантин по правилам и повторите логи.

[PavelA]

Лог AVZ от 12:24, а Хиджак от 14:42 - они не стыкуются.

В Хиджаке уже ничего того, что есть в АВЗ.

[zlost]

во этот новый уже точно

[Rene-gad]

Уже почти красиво
Скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
 QuarantineFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL','');
 DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Логи ждем'с

[zlost]

если я неошибаюсь то усё

[Rene-gad]

Если проблем не наблюдается, то:
1. Систему обновить в ближайшее время необходимо

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

2. Нам было бы интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[zlost]

спасибо большое ))
з.ы. если на пиратку поставить sp3 скачаный с вин апдэйт у мну лицению не попросят после установки?

[Гриша]

Возможно попросят,а возможно и нет

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\zlost\\local settings\\temporary internet files\\content.ie5\\kdavghy7\\systemdefender_insta ller[1].exe - Trojan-Downloader.Win32.Adload.ma (DrWEB: Trojan.DownLoader.3737
  2. c:\\program files\\isecurity\\v12\\isecurity.cpl - Trojan.Win32.Emgr.af (DrWEB: Trojan.Fakealert.757)
  3. c:\\windows\\system32\\isecurity.cpl - Trojan.Win32.Emgr.ag (DrWEB: Trojan.Fakealert.756)
  4. c:\\windows\\system32\\247880\\247880.dll - not-a-virus:AdWare.Win32.E404.cj (DrWEB: Trojan.BhoSiggen.1)