Атака троянов [Trojan.Win32.Antavmu.bfd ]

[charly_aen]

После запуска ОС и автоматического подключения к интеренету drWeb постоянно секёт и удаляет зараженые файлы на С:\ в корне или в папке %WINDOWS%\SYSTEM (Это то что Др.Веб. показывает):
C:\WINDOWS\system\0.exe - возможно, инфицирован MULDROP.Trojan
C:\WINDOWS\system\1.exe - инфицирован Trojan.DownLoader.origin
C:\WINDOWS\system\3.exe - инфицирован Trojan.PWS.Gamania.16889
C:\WINDOWS\system\6.exe - инфицирован Trojan.DownLoad.12603
C:\WINDOWS\system\7.exe - инфицирован DDoS.Attack.origin

При этом идет большое количесво исходящего трафика и в целом подключение к интеренету работает нестабильно (хотя не факт что причина нестабильности в трояне).

Проверка с помощью cureit выявила и удалила троян smss.exe и csrss.exe

Ручная чистка не помогает - после перезагрузки винды все повторяется.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
 TerminateProcessByName('c:\windows\ajctcbed.exe');
 TerminateProcessByName('c:\windows\wwmplrrp.exe');
 QuarantineFile('c:\windows\ajctcbed.exe','');
 QuarantineFile('c:\windows\wwmplrrp.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\akuufcpr.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\kizyqlwq.sys','');
 QuarantineFile('C:\WINDOWS\system32\wbem\internat.exe','');
 QuarantineFile('C:\WINDOWS\system\0.exe','');
 QuarantineFile('C:\WINDOWS\system\1.exe','');
 QuarantineFile('C:\WINDOWS\system\3.exe','');
 QuarantineFile('C:\WINDOWS\system\6.exe','');
 QuarantineFile('C:\WINDOWS\system\7.exe','');
 DeleteFile('c:\windows\ajctcbed.exe');
 DeleteFile('c:\windows\wwmplrrp.exe');
 DeleteFile('C:\WINDOWS\system32\wbem\internat.exe');
 DeleteFile('C:\WINDOWS\system\0.exe');
 DeleteFile('C:\WINDOWS\system\1.exe');
 DeleteFile('C:\WINDOWS\system\3.exe');
 DeleteFile('C:\WINDOWS\system\6.exe');
 DeleteFile('C:\WINDOWS\system\7.exe');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=36514

3. Повторите логи.

[charly_aen]

После загрузки доктор веб больше ничего не находить, но по прежнему идет большое количество исходящего трафика из-за чего инет работает черти как.
Логи:

[Aleksandra]

Очистите временные файлы, кеш браузера, сделайте полную проверку компьютера с помощью AVPTool и повторите логи...

[charly_aen]

Сделано.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('hunk');
 QuarantineFile('C:\WINDOWS\system32\drivers\jcplbc.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\jcplbc.sys');
 ExecuteRepair(9);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[charly_aen]

Сделано.

[V_Bond]

что с проблемами ?

[charly_aen]

Последняя проблема с исходящим трафиком исчезла. Покрайней мере за последний день тормозов с инетом не было замечено.
Так что огромное спасибо за помощь. Всяческих ништяков вам в новом году

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\jcplbc.sys - Trojan-Downloader.Win32.RtkDL.dep (DrWEB: Trojan.Siggen.2056)
  2. c:\\windows\\system32\\wbem\\internat.exe - not-a-virus:WebToolbar.Win32.VB.a (DrWEB: Trojan.DownLoad.2750