Троян (вроде взломал WebMoneyKeeper)

[vvvladimir]

Доброго времени суток!
Запустил у себя на компьютере зараженный файл (я так понимаю не суть важно почему я это сделал...) . Позже прочитал на форуме (не на этом, форум вообще не по вирусам) о похожей проблеме и способе ее решения. Вообщем вкратце троян создал файл lsаss.exe - "а" - русская в папке \Doc...\Application\Options , там же .dat файл -вообщем все это удалил. (также еще какие то файлы в папке temp тоже поудалял) Думал было проблема решена, но перестал работать WMKeeper, а после проверки на вирусы Kaspersky обнаружил в нем троян.
Вообщем прошу помощи, воостановить систему от трояна и последсвтий его действий. Сам троян тоже могу прислать.

[миднайт]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

В HiJackThis пофиксите:

O2 - BHO: Доступ к платному контенту FieryAds v2.0.2 - {6D125299-C2A9-4DBC-BEC3-6F7124E39A41} - C:\DOCUME~1\Vv\APPLIC~1\FieryAds\FieryAds.dll (file missing)

В AVZ выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 TerminateProcessByName('c:\windows\system32\java.exe');
 TerminateProcessByName('c:\windows\system32\rf1pan.exe');
 QuarantineFile('C:\Program Files\Windows NT\Pinball\Accessories\lineage II\ws2_322.dll','');
 QuarantineFile('C:\WINDOWS\Downloaded Program Files\WMAcceptor.dll','');
 QuarantineFile('c:\windows\system32\java.exe','');
 DelBHO('{6D125299-C2A9-4DBC-BEC3-6F7124E39A41}');
 QuarantineFile('C:\DOCUME~1\Vv\APPLIC~1\FieryAds\FieryAds.dll','');
 QuarantineFile('c:\windows\system32\rf1pan.exe','');
 DeleteFile('C:\DOCUME~1\Vv\APPLIC~1\FieryAds\FieryAds.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
Логи повторите

[vvvladimir]

Все сделал, карантин посла по ссылке вверху.

[миднайт]

В карантин не попало ничего. При выполнении скрипта были выгружены все защитные приложения?
Файлы
c:\windows\system32\java.exe
c:\windows\system32\rf1pan.exe
C:\Program Files\Windows NT\Pinball\Accessories\lineage II\ws2_322.dll
C:\WINDOWS\Downloaded Program Files\WMAcceptor.dll
добавьте в zip архив с паролем virus вручную и пришлите по красной ссылке вверху темы.

[vvvladimir]

Неудалось скопировать в архив C:\WINDOWS\Downloaded Program Files\WMAcceptor.dll . Total Commander этой папки вообще не видит. Остальные все скопирваны в архив java выслал по ссылке. Так же повторно запустил скрипт а авз и тоже отправил по ссылке.

[Alex Plutoff]

Как правильно искать запрошенные файлы
Как останавливать/выгружать защитное ПО

[vvvladimir]

Вообщем, выключил я вчера компьтер, а сеголдня включил и биос не вилит жесткий диск... пишу с другой машины, может подскажете в чем может быть проблема?

[миднайт]

Если биос не видит жесткий диск, то проблема в оборудовании. Проверьте шлейф от материнской платы к жесткому диску, попробуйте другой шлейф. Не поможет - проверяйте винчестер на "живучесть".
=
Да, еще посмотрите возможно сбились как то настройки по типу подключения IDE\SATA. Если у вас два типа дисков установлено в системе, то в биосе нужно поковыряться (проверено на личном опыте)

[vvvladimir]

Жесткий диск был Seagate 7200.11 - эта серия вся с косяком. Щас новый поставил, старый на воостановление . Вообщем спасибо что откликнулись на помощь, тему можно закрывать , так щас новое Ос стоит.

Добавлено через 54 секунды

Хотя нет, на всякий случай когда восстановят пришлю эти файлы, надеюсь не сильно озадачу. (так для личного опыта).

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 16
• В ходе лечения вредоносные программы в карантинах не обнаружены