ICQ вирус

[maay]

Добрый вечер.
Поискал по сайту - так и не нашел похожего случая. В аську пришло сообщение: "я мечтаю о тебе ...и ссылка с сайта www.radiodeejay.hr (есть варианты с "фотками киски" и.т.д.) и далее нормальный текст.
Злое стечение обстоятельств - ссылка была от моей девушки Зашел...теперь жду, когда начну сам рассылать такие же сообщения. В интернете тоже мало встречается описание подобного червя, кроме того, что у людей с этой заразой - подобные фразы постятся даже на форумы, непосредственно перед их сообщением.Ну и по аське всем рассылает.
Такое вот сумбурное описание проблемы Вообщем кто-нибудь сталкивался с такой вещью?

[Muffler]

Правила

[maay]

Да я в курсе насчет правил, думал может кто знает решение именно этой проблемы...не хотел ворошить осиное гнездо Там столько всего понаходилось и поудалялось.
Прикрепляю логи.
---------------------
C:\WINDOWS\system32\rsvp32_2.bak Trojan-Proxy.Win32.Agent.ly
c:\windows\system32\rsvp32_2.dll Trojan-Proxy.Win32.Agent.ly
Эти два файла пришлось восстановить из Infected, так как после их удаления умер интернет.

[pig]

Чтобы этого агента добить: AVZ - Файл - Выполнить скрипт:

begin
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\rsvp32_2.bak');
DeleteFile('c:\windows\system32\rsvp32_2.dll');
AutoFixSPI;
RebootWindows(true);
end.

Если интернет опять пропадёт:

begin
ExecuteRepair(15);
RebootWindows(true);
end.

Логи не смотрел, извините. Давно пора домой...

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Хранит~1.scr','');
 QuarantineFile('C:\WINDOWS\System32\diskmngr.exe','');
 QuarantineFile('C:\WINDOWS\System32\DRIVERS\nv4_mini.sys','');
 QuarantineFile('C:\WINDOWS\System32\nv4_disp.dll','');
 QuarantineFile('C:\WINDOWS\System32\rsvp32_2.dll','');
 QuarantineFile('C:\WINDOWS\system32\BBPDFPortMon.dll','');
 DeleteFile('C:\WINDOWS\System32\rsvp32_2.dll');
 BC_ImportDeletedList;
 ExecuteSysClean; 
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки выполните ещё один скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearHostsFile;
AutoFixSPI;
RebootWindows(true);
end.

Пришлите файлы карантина по правилам раздела "Помогите".
Повторите логи virusinfo_syscure.zip и hijackthis.log., а также добавьте файл 'bclr.log' из папки AVZ.

P.S.: Пока писал скрипты сообщения от pig не было. Я логи смотрел, так что можете выполнять мои скрипты.

[Макcим]

Чей скрипт выполняли и выполняли ли вообще?

[maay]

Сначала выполнил скрипт pig. Потом , увидев ваши скрипты выполнил их - предварительно восстановив из карантина файл rsvp32_2.dll (ну чтобы он вошел в карантин вашего скрипта). Файлы выслал.

[Макcим]

Со скриптами Вы баловались напрасно.
Файл удален. С Интернетом проблем нет? Судя по логам все нормально. Думаю что остальные файлы чистые, но лучше проверить
Осталась ещё пара файлов, которые тоже можно проверить. Выполните ещё такой скрипт

begin
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\BBPDFPortMon.dll','');
 QuarantineFile('C:\ARPR\keylogger.exe','');
end.

То, что после выполнения скрипта попадет в каратин пришлите согласно правил.

[Shu_b]

из присланного -
C:\WINDOWS\System32\diskmngr.exe
C:\WINDOWS\System32\rsvp32_2.dll

Trojan.Spambot'ы (DrWeb)
Backdoor.Win32.Delf.axi, Trojan-Proxy.Win32.Agent.ly (KAV)

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\diskmngr.exe');
 BC_ImportDeletedList;
 ExecuteSysClean; 
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки пришлите файл 'bclr.log' из папки AVZ.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\diskmngr.exe - Backdoor.Win32.Delf.axi (DrWEB: Trojan.Spambot)
  2. c:\\windows\\system32\\rsvp32_2.dll - Trojan-Proxy.Win32.Agent.ly (DrWEB: Trojan.Spambot)