Trojan.EmailSpy.origin и Backdoor.Win32.IRCBot.csk

[EdwardH]

Доброе всем время суток.
Помогите избавиться от вирусняка.
В каталоге C:\Windows\Temp после перезагрузки появляются файлы
цифра/буква.tmp или .sys.
*.tmp - CureIt идентифицирует как Trojan.EmailSpy.origin, перемещает в карантин, KIS 7.0.119 вообще не реагирует.
*.sys - KIS идентифицирует как Backdoor.Win32.IRCBot.csk, запускает лечение активных угроз, удаляет, перезагружается. После перезагрузки картина повторяется.
Еще наблюдается странная картина: в безопасном режиме (в обычном не обратил внимание) в списке процессов периодически появляется и пропадает iexplore.exe, хотя Internet Explorer не запускался.
Были еще зараженные файлы spool.exe и ftpdll.dll, но после нескольких прогонов KIS - вроде больше не появляются.
Заранее благодарен.

[PavelA]

AVZ поломал Вам РАдмин.

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\temp\1.tmp','');
 QuarantineFile('msansspc.dll','');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 BC_DeleteSvc('tcpsr');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Hns16.sys','');
 BC_DeleteSvc('Hns16');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('msansspc.dll');
 DeleteFile('c:\windows\temp\1.tmp');
 DeleteFile('C:\WINDOWS\Temp\1.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

сделать новые логи.

Загрузить карантин по Правилам.

[EdwardH]

Фиг с ним, с РАдмином, переустановим.
После скрипта вроде еще что-то осталось, мне наверное просто комп не надо было выключать.
После проверки карантин DrWeb я почистил, что бы AVZ не ругалась.

[EdwardH]

up

[Гриша]

Очистить временные папки, кеш браузера, повторите логи...

Вам нужно срочно установить SP3 иначе надоест от заразы отмахиваться...

[EdwardH]

Ок, счас пришлю.
А SP2 недостаточно? Как-то о 3-м отзывы не очень...

[Гриша]

Не хватит, SP3 нужно ставить, у меня вон стоит с момента выхода, пока не помер

[EdwardH]

Ловите логи.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\Temp\1.tmp');
 DeleteFile('c:\windows\temp\2.tmp');
 DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите пункт 2 диагностики...

[EdwardH]

Достал меня этот комп.
FORMAT C: Enter

Всем спасибо за помощь.

[Гриша]

Для чего спрашивается мы старались?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 16
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\doctorweb\\quarantine\\3.tmp - Trojan-Mailfinder.Win32.Small.aj (DrWEB: Trojan.EmailSpy.167)
  2. c:\\documents and settings\\admin\\doctorweb\\quarantine\\7.tmp - Trojan-Mailfinder.Win32.Small.aj (DrWEB: Trojan.EmailSpy.167)
  3. c:\\windows\\temp\\1.tmp - Trojan-Mailfinder.Win32.Small.aj (DrWEB: Trojan.EmailSpy.167)
  4. c:\\windows\\temp\\3.tmp - Trojan-Mailfinder.Win32.Small.aj (DrWEB: Trojan.EmailSpy.167)
  5. c:\\windows\\temp\\5.tmp - Trojan-Mailfinder.Win32.Small.aj (DrWEB: Trojan.EmailSpy.167)