Письма с компьютера - спам! [Backdoor.Win32.Agent.aazf, Trojan-Dropper.Win32.Agent.aegn ]

[karlshorst]

Какая то гадость использует комп для спам рассылок. Symantec antivirus постоянно орет об отправляемых письмах, через что они уходят, так и не понял!!!

[Макcим]

Выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Documents and Settings\User\User.exe','');
 QuarantineFile('c:\windows\services.exe','');
 QuarantineFile('c:\windows\system32\drivers\624.exe','');
 DeleteFile('c:\windows\system32\drivers\624.exe');
 DeleteFile('c:\windows\services.exe');
 DeleteFile('C:\Documents and Settings\User\User.exe');
 DeleteFile('C:\WINDOWS\system32\mmmddqdd.dll');
 BC_ImportALL;
 BC_DeleteSvc('ws2_32sik');
 BC_DeleteSvc('netsik');
 BC_DeleteSvc('acpi32');
 BC_DeleteSvc('i386si');
 BC_Activate;
 ExecuteSysClean;
 ExecuteWizard('TSW', 1, 1, true);
 ExecuteWizard('BT', 1, 1, true);
 RebootWindows(true);
end.

Загрузите карантин согласно приложению №3 правил. Повторите логи.

[karlshorst]

Карантин выслал, логи повторил.

[Макcим]

Выполните скрипт

begin
 SearchRootkit(true, true);
 DelAutorunByFileName('C:\WINDOWS\system32\mmmzzrzz.dll');
 DeleteService('securentm');
 DeleteService('nicsk32');
 DeleteService('netsik');
 DeleteService('i386si');
 DeleteService('ati64si');
 DeleteService('amd64si');
 DeleteService('acpi32');
 RebootWindows(true);
end.

Повторите лог virusinfo_syscheck.zip. Жалобы есть?

[karlshorst]

Проблема исчезла, огромное спасибо!!!
Не подскажите, что за гадость была?

[Гриша]

624.exe_ - Trojan-Dropper.Win32.Agent.aegn,
services.exe_ - Backdoor.Win32.Agent.aazf

Детектирование файлов будет добавлено в следующее обновление.

User.exe_ - Trojan-Downloader.Win32.Agent.bbuv

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('securentm');
 DeleteService('nicsk32');
 DeleteService('netsik');
 DeleteService('i386si');
 DeleteService('ati64si');
 DeleteService('amd64si');
 DeleteService('acpi32');
 DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\amd64si.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\i386si.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\netsik.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\nicsk32.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
 DeleteFile('C:\WINDOWS\system32\mmmzzrzz.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('securentm');
BC_DeleteSvc('nicsk32');
BC_DeleteSvc('netsik');
BC_DeleteSvc('i386si');
BC_DeleteSvc('ati64si');
BC_DeleteSvc('amd64si');
BC_DeleteSvc('acpi32');    
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[karlshorst]

Новые логи!

[Гриша]

В логах чисто, установите SP3+all updates...

[karlshorst]

Спасибо!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\user\\user.exe - Trojan-Downloader.Win32.Agent.bbuv (DrWEB: Trojan.Inject.5382)
  2. c:\\windows\\services.exe - Backdoor.Win32.Agent.aazf (DrWEB: Trojan.Spambot.3584)
  3. c:\\windows\\system32\\drivers\\624.exe - Backdoor.Win32.Agent.wld (DrWEB: Trojan.MulDrop.29893)