Video.sys - Trojan

[jess]

Добрый день.
Проблема в следующем.

На компьютере появился файл video.sys - его обнаружил Касперский, попытки удалить ни к чему не привели.

Еще при запуске internet explorer загрузилась какая-то утилита Antivirus Windows XP 2008 (её сразу же удалили с компьютера).

При отключении подключения к интернету какой-то процесс периодически автоматически запускает опять подключение к интернету.

В автозапуске появилась ссылка на файл winhelp32. Удаление файла не помогает - восстанавливается тут же.

Помогите, чем можете! Спасибо.

Во вложении файлы сканера.

[PavelA]

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearHostsfile;
 QuarantineFile('C:\WINDOWS\system32\mswapi.dll','');
 QuarantineFile('C:\Internetbank.exe','');
 QuarantineFile('C:\autorun.inf','');
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
 DeleteService('VIDEO');
 TerminateProcessByName('c:\windows\system32\winhelp32.exe');
 QuarantineFile('c:\windows\system32\winhelp32.exe','');
 DeleteFile('c:\windows\system32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать новые логи.
Загрузить карантин по http://virusinfo.info/upload_virus.php?tid=36203

После лечения придется менять пароли.

[jess]

Высылаю логи и карантин

[Гриша]

Пофиксить

O2 - BHO: myiebho - {7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD} - %SystemRoot%\system32\vmmreg32.dll (file missing)
O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O20 - AppInit_DLLs: vmmreg32.dll

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\mswapi.dll','');
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 DeleteService('VIDEO');
 DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\system32\mswapi.dll');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('VIDEO');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[PavelA]

mswapi.dll - Trojan-Spy.Win32.Iespy.bse,
vmmreg32.dll - Trojan-Dropper.Win32.Agent.acgi,
winhelp32.exe_ - Trojan-Dropper.Win32.Agent.acga

- все свежее. Классификация от ЛК.

[jess]

Логи+карантин

[PavelA]

Профиксить:
O20 - Winlogon Notify: reset6 - AUHook.dll (file missing)

ТраффикИнспектор установлен и работает?

[jess]

Траффик инспектор установлен но не работает. Могу удалить.

[PavelA]

Меня просто вот это смутило:
O10 - Unknown file in Winsock LSP: c:\program files\trafficcompressor\tcomplsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\trafficcompressor\tcomplsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\trafficcompressor\tcomplsp.dll

Больше в логах проблем не увидел. а у Вас они есть?

[jess]

Пока вроде бы нет
Спасибо. Всем.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\mswapi.dll - Trojan-Spy.Win32.Iespy.bse (DrWEB: Trojan.PWS.Iespy.7)
  2. c:\\windows\\system32\\vmmreg32.dll - Trojan-Dropper.Win32.Agent.acgi (DrWEB: Trojan.MulDrop.29402)
  3. c:\\windows\\system32\\winhelp32.exe - Trojan-Dropper.Win32.Agent.acga (DrWEB: Trojan.MulDrop.29404)