Похоже на i-Dialer

[robertmag]

Доброго времени суток!

Будьте добры, помогите с моей проблемой. Где-то поймал сегодня i-Dialer. Появлялся в трее и пытался набрать номер. Сначала в Windows\Temp были парочка exe-шников (по описанной кем-то ранее симптоматике - точно i-Dialer) и клонируются файлы win***.tmp. Сейчас кружок с красным крестом уже не выскакивает, exe-шники в Temp не появляются, зато при загрузке системы в трее кружок с восклицательным знаком, при открытии которого выскакивает какое-то окно "Spyware Detection Alert". К сожалению, не получается прикрепить иллюстрации.

И в Windows\Temp продолжают безудержно клонироваться файлы win***.tmp.

Все логи прикрепил.

Спасибо заранее!

[drongo]

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\rpcc.dll','');
 QuarantineFile('C:\Program Files\REWARD\CMS32_NT.DLL','');
 QuarantineFile('C:\WINDOWS\system32\winyqq32.dll','');
 QuarantineFile('C:\WINDOWS\system32\drvbah.dll','');
 QuarantineFile('C:\WINDOWS\system32\svchosts.exe','')
 QuarantineFile('C:\WINDOWS\system32\TosCommAPI.dll','')
RebootWindows(true);
end.

Прислать карантин согласно приложения 2 правил , с пятого пункта.

[robertmag]

Добрый день!

Вчера отправил карантин.

[Кто?]

В присланном по Касперскому:
C:\WINDOWS\system32\rpcc.dll------- Trojan-Proxy.Win32.Dlerna.bi
C:\WINDOWS\system32\winyqq32.dll-- Trojan-Win32.Agent.qt
C:\WINDOWS\system32\drvbah.dll----- Trojan-Win32.Agent.qt

[robertmag]

Так что делать-то?

[Numb]

В программе Hijackthis пофиксите строки:

O23 - Service: COM+ Messages - Unknown owner - C:\WINDOWS\system32\svchosts.exe" -e mc-110-12-0000272 (file missing)
O20 - Winlogon Notify: rpcc - C:\WINDOWS\system32\rpcc.dll
O20 - Winlogon Notify: winyqq32 - C:\WINDOWS\SYSTEM32\winyqq32.dll

Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\rpcc.dll');
DeleteFile('C:\WINDOWS\system32\winyqq32.dll');
DeleteFile('C:\WINDOWS\system32\drvbah.dll');
ExecuteSysClean;
RebootWindows(true);
end.

Система будет перезагружена. После перезагрузки сделайте новые логи ( п.п. 8-13 правил )

[robertmag]

Строки профиксил, скрипт выполнил.

"Беда" с восклицательным знаком пропала. Больше не размножаются файлы в Temp-е.

СПАСИБО ОГРОМНОЕ ЧЕЛОВЕЧЕЧКОЕ!!!

Высылаю новые логи, как и просили.

[Numb]

В программе Hijackthis пофиксите строки

O20 - Winlogon Notify: rpcc - C:\WINDOWS\
O20 - Winlogon Notify: winyqq32 - winyqq32.dll (file missing)

Для вот этой службы -

O23 - Service: Reset 5

- я знаю только одно применение: снятие 30-дневного ограничения на использование Windows XP SP1. У вас, судя по логам, SP2 - на нем эта штука не работает. Если захотите удалить - "Пуск" - "выполнить" - выполните последовательно команды:

sc stop "Reset 5"
sc config "Reset 5" start= disabled
sc delete "Reset 5"

В Hijackthis проверьте, если останутся, - пофиксите строки

O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll
O23 - Service: Reset 5 - Unknown owner - C:\WINDOWS\system32\srvany.exe

А так, вроде-бы, чисто.

[robertmag]

Все сделал!

Спасибо огромное! За оперативность и профессионализм!

Сайту - респект!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drvbah.dll - Trojan.Win32.Dialer.qn (DrWEB: Trojan.Fakealert.249)
  2. c:\\windows\\system32\\rpcc.dll - Trojan-Proxy.Win32.Dlena.bi (DrWEB: Trojan.Spambot)
  3. c:\\windows\\system32\\winyqq32.dll - Trojan.Win32.Dialer.qn (DrWEB: Trojan.Mezzia)