Процесс explorer.exe похоже запускает трояна

[borilio]

Приветствую!

Проблема в следующем:

В системе появился второй процесс Opera.exe меньшего размера (занимает около 1 Мб памяти), который лезет в интернет через TCP на 211.240.82.70:845.

Убивать процесс бесполезно. Через пару секунд он запускается вновь и еще через секунд 15 опять лезет в инет.

Этот процесс запускаяется независимо от того запущена ли настоящая Опера. И судя по данным программы Process explorer, его родительским процессом является Explorer.exe.

Попробовал завершить Explorer.exe - и эта несанкционированная версия оперы тоже перестала появляться. Как только запустил Explorer.exe тут же запускаеся и этот шпион.

Пока закрыл ему доступ в инет через файрвол конкретно на этот адрес и порт, но очень бы хотелось полностью избавиться от этой напасти.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\lssas.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

[borilio]

Скрипт выполнил. Карантин отослал.

[Bratez]

C:\WINDOWS\system32\lssas.exe - Backdoor.Win32.Bifrose.adz (по KAV).
Скрипт для удаления:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\lssas.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки повторите логи п.10 и 12 правил.

[borilio]

Сделал

[Bratez]

Странно, а откуда взялся utorrent.exe в автозапуске?
Вы его сами ставили?

[borilio]

Обычно utorrent у меня стоит в автозапуске. Но перед тем как делать логи AVZ/HijackThis я временно из автозапуска все поубирал. Потом вернул. А перед тем как делать вторые логи наверно забыл его убрать из автозапуска.

[Bratez]

Судя по отсутствию второго процесса Оперы, проблема больше не проявляется? Правда запись в реестре от этого lssas.exe так и осталась. Надеюсь, сам файл успешно удален, но все-таки попробуйте поискать его вручную. Если не найдется, выполните скрипт:

begin
DelCLSID('3B84849C-1C2F-81B9-0407-010203060000');
end.

и повторите лог п.10 правил.

[drongo]

c:\Programe.exe- сами ставили ?

[borilio]

Надеюсь, сам файл успешно удален

Да, второй процесс Оперы пропал. Файла lssas.exe на диске не нашлось.
Лог сделал.

c:\Programe.exe- сами ставили ?

Нет, такой файл не ставил. И по этому пути сейчас его не вижу.

[Bratez]

ОК, теперь все чисто.

[borilio]

Очень признателен за помощь.
Удачи, и приятных праздников!

[drongo]

описка небольшая
А такой :C:\Program.exe

если нет , пофиксить :

O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)

[borilio]

A! C этим MySQL и C:\Program.exe уже была история. Когда в прошлый раз мне здесь ребята помогали избавиться от одного червяка, там тоже в логах всплыла эта строка

O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)

Причем, что интересно, это было совершенно на другой машине.

Я тогда пофиксил ее, после чего MySQL перестал запускаться. Пришлось его переустановить. Строка тогда так и осталась.

В принципе, никаких побочных эффектов от нее я не замечал. Так что решил дальше не копать.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\lssas.exe - Backdoor.Win32.Bifrose.adz (DrWEB: Trojan.Packed.650)