Вирусы кушают трафик

[lexi]

Уважаемые господа! В очередной раз обращаюсь к Вам за помощью....
На ПК товарища идет лишний трафик. ПРолечил AVTool - все что можно удалилось.Аналогично и с CureIt. НО устаеовленный Каспер ловит три вируса в системных файлах и пишет -будет вылечено при перезагрузке компьютера: троянская программа Trojan.Win32.Patched.aa Файл: C:\WINDOWS\SYSTEM32\SVCHOST.EXE
будет вылечено при перезагрузке компьютера: троянская программа Trojan.Win32.Patched.aa Файл: C:\WINDOWS\system32\winlogon.exe
будет вылечено при перезагрузке компьютера: троянская программа Trojan.Win32.Patched.aa Файл: C:\WINDOWS\system32\lsass.exe
После презагрузки все повторяется. Комп тормозит и отдает кому-то тарфик. Надеюсь на Ваше сочувствие, а главное помощь!

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
 DelBHO('{2D73F180-D74F-4CD6-8ABB-55A42FD8C256}');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\xxrlib.dll','');
 QuarantineFile('divxrs.dll','');
 QuarantineFile('C:\windows\system32\drivers\spools.exe','');
 QuarantineFile('C:\WINDOWS\system32\twex.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('c:\windows\system32\winlogon.exe','');
 QuarantineFile('c:\windows\system32\svchost.exe','');
 DeleteFile('C:\WINDOWS\services.exe');
 DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\twex.exe');
 DeleteFile('C:\windows\system32\drivers\spools.exe');
 DeleteFile('divxrs.dll');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\xxrlib.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 праивил
повторите логи

[lexi]

Не помогло.Карантин выслал

[PavelA]

'c:\windows\system32\svchost.exe'
'c:\windows\system32\winlogon.exe'
-
Trojan.Win32.Patched.aa

Надо их заменить, загрузившись с ЛайвСД, имея при этом диск с дистрибутивом.

[lexi]

как? С помощью команды expand?

[Гриша]

1. Нажмите кнопку "Пуск" и выберите команду "Выполнить".
2. В диалоговом окне "Открыть" введите команду cmd и нажмите кнопку "OK".
3. В командной строке введите sfc /scannow и нажмите "ENTER".

Windows будет проверять целостность системных файлов, понадобится диск с дистрибутивом.

[lexi]

Большое спасибо Грише и PavelA за совет!. Правда поступил попроще - сделал обновление видны и все встало на свои места. Вечером пришлю контрольные логи для того, чтобы закрыть тему. Еще раз спасибо.

[lexi]

Контрольные логи

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drulw.dll','');
 DeleteService('winsecguard');
 QuarantineFile('C:\windows\Рабочий стол\zpx2.exe','');
 DeleteFile('C:\windows\Рабочий стол\zpx2.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('winsecguard');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[lexi]

В карантине пусто. Логи высылаю

[Гриша]

В логах чисто, установите SP3+all updates...

[lexi]

Понял! Огромное спасибо! Тема закрыта.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\svchost.exe - Trojan.Win32.Patched.aa ( DrWEB: Trojan.Starter.384, BitDefender: Trojan.Patched.U )
  2. c:\windows\system32\twex.exe - Trojan-Spy.Win32.Zbot.gen ( DrWEB: Trojan.PWS.GoldSpy.2651, BitDefender: Trojan.Spy.Wsnpoem.LZ )
  3. c:\windows\system32\winlogon.exe - Trojan.Win32.Patched.aa ( DrWEB: Trojan.Starter.384, BitDefender: Trojan.Patched.U )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !