Lsass.exe и браузер просят исходящее соединение по 2300порту

[Youlupukki]

Здравствуйте!
lsass.exe и Opera просят исходяшее оединение на seozavrsss.biz
До того как я не удалил дрйвер mssfc.sys не мог зайти ни на один антивирусный сайт.
Avz не показал подозрительных внедрённых dll в эти процессы.
Также я обнружил вирус Small.KLO - он был прописанн в шелле винлогона, но я подозреваю, что это загрузчик скачивает эти вирусы и ставит.
Как удалить вирус?

[миднайт]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

В HiJackThis пофиксите:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe

В AVZ выполните скрипт:

begin
SetAVZGuardStatus(True);
 DelBHO('{6D125299-C2A9-4DBC-BEC3-6F7124E39A41}');
 QuarantineFile('C:\WINDOWS\system32\cmdow.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\atapi.sys','');
BC_ImportAll;
BC_Activate;
setavzpmstatus(true);
RebootWindows(true);
end.

После перезагрузки

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
Логи повторите. virusinfo_cure.zip уберите, virusinfo_sysсure.zip приложите.

[Youlupukki]

Лог virusinfo_sysсure не создаётся! Антивирус и ферволл отключал.

И всё же я кое-что выяснил.
Я взял сделал дамп процесса lsass.exe, загнал в отладчик. Там я нашёл текстовую строку "seozavrsss.biz" - на этот сайт ломился процесс. Строка находилась в модуле "mryhrbpy.dll" - я его естественно отправил на вирус тотал и вот оно! 8 / 42 - западозрили неладное!
http://www.virustotal.com/ru/analisi...3c6-1270331250
Дальше я по-копался в реестре с этим именем и нашёл след ключи:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SecurityProviders\SecurityProviders = msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, mryhrbpy.dll
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\0001\Ndi\params\mryhrbpy.dll\ = 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\0001\Ndi\params\mryhrbpy.dll\ = 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\SecurityProviders\SecurityProviders = msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, mryhrbpy.dll
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\0001\Ndi\params\mryhrbpy.dll\ = 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\0001\Ndi\params\mryhrbpy.dll\ = 
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Control\SecurityProviders\SecurityProviders = msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, mryhrbpy.dll
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\0001\Ndi\params\mryhrbpy.dll\ = 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}\0001\Ndi\params\mryhrbpy.dll\ = 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SecurityProviders = msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, mryhrbpy.dll

Вскоре сообщу о результатах=)

[Youlupukki]

Да, я был правл - это тот самый файл, после удаления и чистки реетра запросы исчезли!
Присылаю вирус для дальнейшего реверса, если кому-нибудь надо.
Спасибо!

[pig]

По правилам пришлите.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\4f465be.exe - Trojan-Downloader.Win32.Small.klo ( DrWEB: Trojan.Packed.19855, AVAST4: Win32:Rootkit-gen [Rtk] )