Троян полностью удаляет файлы с локального диска

[Марина Бугреева]

Подобная ситуация уже описана на форуме 27 июля, но в моем случае есть некоторые отличия: программа только стерла (удалила или скрыла) файлы с локального диска, сообщения о кодировке файлов получено не было. Текст письма, полученного после исчезновения файлов, также аналогичен приведенному в теме:
"привет если тебе нужны те файлы что я стер пиши на асю 481095 или на мыло [email protected]
удачи если хочешь поговорить об этом стучи в асю 481095
(за скромную сумму в 500 рублей я верну все что у вас пропало о том как платить посетите сайт: http://zloy-geniy.ru)".
Предварительные действия, рекомендованные в правилах, произведены.
Необходимые файлы прилагаю.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{9D64F819-9380-8473-DAB2-702FCB3D7A3E}');
 DelBHO('{92860A02-4D69-48c1-82D7-EF6B2C609502}');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 QuarantineFile('C:\DOCUME~1\85B6~1\LOCALS~1\Temp\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\WinSit.exe','');
 DeleteFile('C:\WINDOWS\system32\WinSit.exe');
 DeleteFile('C:\DOCUME~1\85B6~1\LOCALS~1\Temp\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Марина Бугреева]

Карантин выслан.
Новые логи после выполнения скрипта:

[thyrex]

В логах ничего подозрительного

В Documents and Settings в папке Вашей учетной записи поищите файл с именем 111111111111111111111111
Переименуйте его в 111111111111111111111111.rar и попробуйте распаковать архив.

[Марина Бугреева]

Этот файл не находится ни визуально, ни поисковиком.

[thyrex]

Поищите подозрительный файл, размер которого совпадает с размером исчезнувших файлов. Возможно файл скрытый

[Марина Бугреева]

Значит его вчера с перепугу CCleaner вместе с неполадками удалил? Паника - не лучший помощник

Добавлено через 10 часов 21 минуту

Да, еще одна деталь - на компьютере был установлен рейд-массив и теперь объем логического диска показывается вдвое больше реального

Добавлено через 9 часов 21 минуту

Перерыт весь диск вдоль и поперек, реестр восстановлен из резервной копии, но файла хотя бы отдаленно приближенного по объему (около 20 ГБ) к исчезнувшим файлам нет. Обидно - давно не копировала данные. Но ведь он должен быть на дисках, я правильно понимаю? Куда его еще то...

[Марина Бугреева]

Все файлы, удаленные Троян энкодером, найдены и восстановлены.
Всем огромное спасибо за помощь и за советы - без этого у меня бы ничего не получилось

Но поскольку в процессе восстановления антивирус не раз ругался на присутствие троянов, прошу проверить логи после восстановления файлов на диске.

[AndreyKa]

Windows XP SP2, обновления безопасности не установлены.
Acrobat Reader 5.0
Java 1.5.0_07
Марина Бугреева, ваш компьютер просто подарок для хакера.

[AndreyKa]

Файл virusinfo_cure.zip загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=51140

[Марина Бугреева]

Windows XP SP2, обновления безопасности не установлены.
Acrobat Reader 5.0
Java 1.5.0_07
Марина Бугреева, ваш компьютер просто подарок для хакера.

С этого момента поподробнее)

Добавлено через 1 минуту

Файл virusinfo_cure.zip загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=51140

Закачан

[AndreyKa]

С этого момента поподробнее)

Обновления безопасности на Windows надо устанавливать. Лучше начать с Service Pack 3 (может потребоваться активация).
Установите Adobe Acrobat Reader 9.1.3 или удалите старый.
Обновите Java.

[Марина Бугреева]

Установите Adobe Acrobat Reader 9.1.3 или удалите старый.

Он и был удален. Как раз перед "полетом диска". А профессиональный 7.*** поставить просто не успела. У ридера функций не хватает. Это не старая версия?
С обновлениями и безопасностью поняла!

[Rene-gad]

А профессиональный 7.*** поставить просто не успела. ...Это не старая версия?

Нет - это очень старая версия. Последняя версия Adobe Acrobat 9 , однако я не слышал об уязвимостях в ней, читал только про Adobe Reader

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\docume~1\85b6~1\locals~1\temp\svchost.exe - Trojan-Downloader.Win32.Agent.ckwo ( DrWEB: Trojan.MulDrop.33183 )