Проблемы после вируса а может и с ним

**Den_Perm** · 30.06.2009, 22:34

Помогите. Описание.
Установлен актуальный КИС2009 со всеми обновлениями. При работе в Интернете КИС внезапно начал помещать внезапно-загружаймые файлы в группу слабые ограничения (setup.exe, e.exe, rdl11.tmp.exe). Почти сразу КИС обнаружил и удалил вирус Trojan.PSW.Win32.Ldpinch.zie . Выйдя мгновенно из интернета, включил полную проверку, в результате больше ничего ненайдено. Перезагрузился в безопасный режим, начал сканировать AVZ. AVZ нашел по пути C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP8\Data\Updater\TemporaryFiles\temporaryFold er\bases\av\kdb\i386\ForDiff\base167.kdc.y-d вирус Trojan.FormatC.d . Далее начал сканировать Cureit. Cureit нашел по C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\A00102 14.exe/data1134 инфицирован Trojan.PWS.Banker.28817 >>C:\Documents and Settings\Администратор\DoctorWeb\Quarantine\winamp 553_pro_ru-ru.exe/data1134 инфицирован Trojan.PWS.Banker.28817 . После удаления вирусов проверил все, этими же способами. Вирусы не найдены.
Но остались проблемы: при подключение интернета каждые 3-7 секунд сообщение КИС - СЕТЕВАЯ АТАКА, далее попытка загрузки с узлов интернета каких-то файлов, провалы (паузы) на открытых страницах (ранее не было), идет много трафика, подозрение AVZ. Троян ремувер ничего не находит. Спасибо.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 30.06.2009, 23:17

выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\msvcrt57.dll','');
 DeleteFile('C:\WINDOWS\system32\msvcrt57.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

**Den_Perm** · 01.07.2009, 00:18

скрипт выполнил,карантин выслал, направляю логи

**gjf** · 01.07.2009, 01:48

- Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
- Антивирус и Файрвол.
- Выполните скрипт AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelCLSID('E6FB5E20-DE35-11CF-9C87-00AA005127ED');
 DeleteFile('C:\WINDOWS\system32\msvcrt57.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Система перезагрузится.
После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи согласно Правил (Диагностика)
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно Правил (Приложение 3).
- Прикрепите новые логи к новому сообщению в этой ветке.

**Den_Perm** · 01.07.2009, 17:20

Все проделал как вы сказали, но в карантине ничего нет справа (пусто). Логи прикладываю.

**gjf** · 01.07.2009, 17:26

И не должно было быть - я просто добил Trojan-PSW.Win32.WebMoner.gt, который Вы пытались удалить с помощью скрипта хелпера V_Bond.
Кстати - новая зараза. А про карантин написал по инерции - Вы уж извините.
Всё, больше ничего вредоносного не видно. Что с проблемами? Кстати, сетевые атаки - не в счёт, они не свидетельствуют о заразе на Вашем компьютере, скорее - о заразе, которая Вас окружает

**Den_Perm** · 01.07.2009, 17:36

Да только что карантин проверил на сайте КАВ, он нашел этотже. Обновился. Проверяю этот карантин на своем компе, а он его не находит. Это как понять?
А msvcrt57.dll это библиотека от какого-то ПО или чисто вирус?
Работает стабильно. Сетевые атаки долбят тоже стабильно.

**gjf** · 01.07.2009, 17:40

Файл avz00001.dta видите? Попробуйте его в avz00001.dll переименовать

**Den_Perm** · 01.07.2009, 17:47

Зашел в папку и не успел переименовать. КИС увидел, детектировал и удалил.

**gjf** · 01.07.2009, 18:03

Миссия выполнена

Вы можете отблагодарить хелперов, которые Вам помогли, добавив им отзыв, а также и весь проект VirusInfo вот тут.
Рекомендуется изменить все используемые пароли, поскольку теоретически зловред мог их отправить злоумышленникам. Также, рекомендуется провести полную проверку системы антивирусом.
Установите все последние обновления системы Windows и используемых программ.

**CyberHelper** · 02.07.2009, 18:03

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 1
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\msvcrt57.dll - Trojan-PSW.Win32.WebMoner.gt ( DrWEB: Trojan.DownLoad.5244 )

Рекомендации: