Trojan-Spy.Win32.Zbot.rmm - помогите справится, плз.

[akubka]

Спасибо, что есть такие добрые люди, как вы!
Ситуация у меня такая.
Подцепил вирус, как оказалось не один. Вот список из Касперского онлайн.

не найдено: вирус Worm.Win32.AutoRun.dnk
обнаружено: троянская программа Exploit.Win32.Pidief.aaj
удалено: вирус Worm.Win32.AutoRun.ear
удалено: вирус Worm.Win32.AutoRun.dnd
обнаружено: троянская программа Exploit.JS.Agent.afh
обнаружено: троянская программа Trojan-Spy.Win32.Zbot.rmm
удалено: троянская программа Trojan-Spy.Win32.Zbot.rmm
удалено: троянская программа Trojan-Spy.Win32.Zbot.rmm

Какие-то касперский смог вылечить, а вот с одной из копий Trojan-Spy.Win32.Zbot.rmm не справился.

Записывать логи пришлось только в безопасном режиме - в нормальном комп вис.

Подскажите, пожалуйста, что сделать, чтобы восстановить нормальную работу системы?

Заранее признателен.

[light59]

"Пофиксите" в HijackThis

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O9 - Extra button: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)

В AVZ -> файл-> Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=43288
Повторите логи по правилам.

а вот с одной из копий Trojan-Spy.Win32.Zbot.rmm не справился.

В каком файле это?

[akubka]

Спасибо

В каком файле это?

Это в файле
c:\documents and settings\andrej\local settings\temporary internet files\content.ie5\89e7wlyj\1[1].exe//1[1]

После того, как профиксил, запустил скрипт, система заработала в нормальном режиме (перестала зависать), но при загрузке выдала ошибку:

BCCode: 1000008e BCP1:8000004 BCP2:80707AE1 BCP3:F418D65C
BCP4:00000000 OSVer:5_1_1600 SP:3_C Product:256_1

При следующих загрузках система эту ошибку уже не выдавала.

Логи в аттачменте. Карантин отправил. Еще раз спасибо.

[akubka]

Забыл написать, что Trojan-Spy.Win32.Zbot.rmm остался на компьютере.

[light59]

К сведению

...Trojan-Spy.Win32.Zbot используются злоумышленниками для кражи с компьютеров пользователей различной банковской информации...

в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportDeletedList;
ExecuteSysClean;
 SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.

Удалите мусор CCleaner.
Обновите базы Каспера, сделайте им полную проверку.
Логи повторите.

[akubka]

Спасибо за помощь. Код выполнил, мусор очистил.

Касперский смог вирус запихнуть в резервное хранилище. А при второй полной проверки уже не обнаружил его.

Удалить вирус в хранилище?

Логи выкладываю.

Помог вашему ресурсу - пусть развивается и процветает!!! Круто, что вы есть)))

Интересно, что значит "различная банковская информация". Что это? На компе платил банковской картой (но до того, как вирус словил), а еще на нем банк-клиент юрлица стоит. Нужно бежать все блокировать?

Нет темы на форуме, где этот вопрос обсуждался?

Еще раз спасибо!

[light59]

в avz

begin
 executerepair(13);
rebootwindows(true);
end.

Больше ничего плохого.
Я не знаю, что за банковская информация, но на сайте ЛК это в описании есть.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены