Trojan.WinSpy.527 в sfcfiles.dll

[tarmy]

Здравствуйте!
К сожалению не могу полностью выполнить Ваши рекомендации, а именно: при сканировании CureIt доходит до сообщения о наличии Trojan.WinSpy.527 в Windows\system32\sfcfiles.dll и при нажатии кнопки "Лечить" на компьютере появляется синий экран с латинским текстом.
Сделал несколько попыток, но все также.
Обновить базы в AVZ не представляется возможным. Выдает ошибку:
"Ошибка в ходе автоматического обновления - Ошибка загрузки Файла с описанием обновления avzupdzip с http://www.z-oleg.com/secur/avz_up/ (21,00002EFD)

Ошибка в ходе автоматического обновления • Ошибка загрузки Файла с описанием обновления avzupdzip с http://avz.virusinfo.info/avz_up/ [21,00002EFD]"

NOD32 не обнаруживает вредоносных программ.

Помогите пожалуйста вылечить систему.
Windows XP SP3

Спасибо.

[AndreyKa]

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:

begin
 SetAVZGuardStatus(True);
 DeleteFile(GetAVZDirectory+'log\virusinfo_cure.zip');
ExecuteWizard('TSW', 2, 2, true);
QuarantineFile('%System32%\sfcfiles.dll','');
RenameFile('%System32%\sfcfiles.dll', '%System32%\sfcfiles.bak');
 if CheckFile('%System32%\dllcache\sfcfiles.dll')=3 then
    CopyFile('%System32%\dllcache\sfcfiles.dll', '%System32%\sfcfiles.dll');
BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate; 
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.

Вы устанавливали прокси на своём компьютере?
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 127.0.0.1:9202
Если нет, пофиксте в HijackThis эту строку.

Обновите базы AVZ.
Сделайте новые логи AVZ и приложите к этой теме.

[tarmy]

Прокси я устанавливал 9202

AVZ обновил

Отправляю файлы AVZ

[AndreyKa]

Не видно ничего подозрительного. Проблема решена?
Очистите карантин AVZ.
Выполните процедуру, описанную в первом сообщении: http://virusinfo.info/showthread.php?t=3519

[tarmy]

Файл по ссылке отправил. Перезагрузка прошла нормально, без синевы (чтоб не сглазить). А как еще проверить, что проблемы ушли? Наверно время покажет? А AVZ нужно периодически пользоваться? И что именно им делать? Если да, то обязательно NOD32 отключать? А Outpost Firewall? Большое спасибо.

[AndreyKa]

Переодически надо ПО обновлять. Особенно такое как Adobe Acrobat, Java и браузер.

[tarmy]

Сегодня снова при сканировании обновленным CureIt обнаружился Trojan.WinSpy.527 в Windows\system32\sfcfiles.bak и при нажатии кнопки "Лечить" на компьютере появился синий экран с латинским текстом.
После перезагрузки нашел этот файл и руками удалил его. Он сразу удалился.
После этого включается и выключается нормально. Все работает.
Произвел выборочную проверку CureIt папки system32. Ничего не обнаружилось.
Больше ничего не нужно делать?

[AndreyKa]

при нажатии кнопки "Лечить" на компьютере появился синий экран с латинским текстом.

Вы NOD на время проверки отключили?

[tarmy]

Да, при сканировании в NOD32 (в трее) выбираю "отключить защиту файловой системы в режиме реального времени"

[AndreyKa]

Попытался восприизвести. CureIt найдя файл предлагает вылечить. Согласился: C:\WINDOWS\system32\sfcfiles.bak инфицирован Trojan.WinSpy.527 - неизлечим - перемещен
Синего экрана не было. Видимо, конфликтует с чем то ещё.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\sfcfiles.dll - Trojan.Win32.Patched.fr ( DrWEB: Trojan.WinSpy.527, AVAST4: Win32:Patched-KP [Trj] )