Подозрение на трояны

**fdoocher** · 28.03.2011, 05:16

Добрый день,
На зараженном компьютере сегодня отказала работа банк-клиента.
cureit, avz выявили наличие троянов.

Прошу проверить логи на наличие чего-либо еще.
С уважением,
Алексей.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 28.03.2011, 10:16

Пофиксите в HijackThis:

Код:

O4 - HKLM\..\Run: [Shell] C:\WINDOWS\svchost.exe
O4 - HKLM\..\Run: [SystemIn_1] C:\WINDOWS\scvhoss.exe
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.36 85.255.112.151
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.36 85.255.112.151
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.115.36 85.255.112.151
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.36 85.255.112.151

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('wlumcp.dll','');
 QuarantineFile('C:\WINDOWS\svchost.exe','');
 QuarantineFile('C:\WINDOWS\scvhoss.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvqmdcz.exe','');
 DeleteFile('C:\WINDOWS\system32\msvqmdcz.exe');
 DeleteFile('C:\WINDOWS\scvhoss.exe');
 DeleteFile('C:\WINDOWS\svchost.exe');
 DeleteFile('C:\WINDOWS\Installer\1715e8b.msi');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('lmimirr');
 BC_DeleteSvc('Network Adapter Events');
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=99926).

Обновите базы AVZ и сделайте новые логи.

**fdoocher** · 12.04.2011, 03:32

Файл сохранён как110411_232943_virus_4da38ee72f596.zip

новые логи так же в приложении
Спасибо.

**Bratez** · 12.04.2011, 04:01

Выполните скрипт в AVZ:

Код:

begin
ClearQuarantine;
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\opera\setupapi.dll','');
 QuarantineFile('wlumcp.dll','');
 DeleteFile('C:\Program Files\opera\setupapi.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новый лог virusinfo_syscheck (только п.2 раздела Диагностика).

Что с проблемой?

**CyberHelper** · 13.04.2011, 04:01

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 1
В ходе лечения обнаружены вредоносные программы:
1. c:\\program files\\opera\\setupapi.dll - Backdoor.Win32.Lavandos.ag ( DrWEB: Trojan.WinSpy.1003, BitDefender: Gen:Variant.Buzy.1635, NOD32: Win32/Agent.OSS trojan, AVAST4: Win32:Small-NSZ [Trj] )

Подозрение на трояны (заявка № 99926)

Опции темы