win32\spy.VBStat.J троян и траффик почти пропал

Nod32 выдает сообщение о его обнаружении. траффик почти на нуле, ничего не качается. CureIt находит троян Virtumond и вроде бы его удяляет, но потом он снова есть - так уже 3 месяца. Еще в последнее время IExplore все время пытается зайти на стринички с разными адресами, но не подключается к ним.
При етом пробkемы с траффиком у меня на домашнем компьютере, а так же на ноутбуке, которые дома соеденинены в по сети. При выходе с ноутбука в интернет из другого места тоже почти пропадает траффик, на нем у меня стоит Dr.Web и Vista, а на домашнем Nod32 i Xp.

Файлы

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\hpilpdgs.dll','');
QuarantineFile('C:\WINDOWS\system32\dkcoamxi.dll','');
QuarantineFile('C:\WINDOWS\system32\ssqpo.dll','');
QuarantineFile('C:\WINDOWS\system32\efccbba.dll','');
QuarantineFile('c:\windows\system32\brsvc01a.exe','');
QuarantineFile('c:\windows\system32\brss01a.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите".

и где выполнить скрипт - на ноуте или на домашнем, или сразу на обоих

На домашнем.

для каждого компьютера своя тема со своими логами, тогда и не будет путаницы.

ну отправила я файлы, каков вердикт?

Explorer продолжает ломиться на адрес хттп//65.243.103.56

[quote=nkochet;112130]ну отправила я файлы, каков вердикт?[/quote]
[code]

Hello,

avz00001.dta - Trojan-Spy.Win32.VBStat.h,
avz00002.dta - Trojan-Spy.Win32.VBStat.h,
avz00003.dta - Trojan-Spy.Win32.VBStat.h,
avz00004.dta - Trojan-Spy.Win32.VBStat.h,
avz00005.dta - Trojan-Spy.Win32.VBStat.h,
avz00006.dta - Trojan-Spy.Win32.VBStat.h,
avz00007.dta - Trojan-Spy.Win32.VBStat.h

These files are already detected. Please update your antivirus bases.

avz00008.dta - not-a-virus:AdWare.Win32.Virtumonde.fp,
avz00009.dta - not-a-virus:[URL="http://adware.win32.virtumonde.jp/"]AdWare.Win32.Virtumonde.jp[/URL],
bcqr00005.dat - not-a-virus:AdWare.Win32.Virtumonde.fp,
bcqr00006.dat - not-a-virus:AdWare.Win32.Virtumonde.fp,
bcqr00007.dat - not-a-virus:[URL="http://adware.win32.virtumonde.jp/"]AdWare.Win32.Virtumonde.jp[/URL],
bcqr00008.dat - not-a-virus:[URL="http://adware.win32.virtumonde.jp/"]AdWare.Win32.Virtumonde.jp[/URL]

These files are Advertizing Tools, they are detected by
extended databases set. See more info about
extended databases here: [URL]http://www.kaspersky.com/extraavupdates[/URL]

avz00010.dta, avz00011.dta, bcqr00009.dat, bcqr00010.dat, bcqr00011.dat, bcqr00012.dat

No malicious code were found in these files.
[/code]

кто есть кто :
[code]
avz00001.dta = "e:\ForTest\Documents and Settings\Administrator\Local Settings\Temp\fieypjpg.dll"
avz00002.dta = "e:\ForTest\Documents and Settings\Administrator\Local Settings\Temp\fqtqkrup.dll"
avz00003.dta = "e:\ForTest\Documents and Settings\Administrator\Local Settings\Temp\hhmfkhmj.dll"
avz00004.dta = "e:\ForTest\Documents and Settings\Administrator\Local Settings\Temp\nlnrnfwc.dll"
avz00005.dta = "e:\ForTest\Documents and Settings\Administrator\Local Settings\Temp\pujulgcv.dll"
avz00006.dta = "e:\ForTest\Documents and Settings\Administrator\Local Settings\Temp\tdavqmpb.dll"
avz00007.dta = "e:\ForTest\Documents and Settings\Administrator\Local Settings\Temp\vthtcage.dll"
avz00008.dta = "e:\ForTest\WINDOWS\system32\ssqpo.dll"
avz00009.dta = "e:\ForTest\WINDOWS\system32\efccbba.dll"
avz00010.dta = "e:\ForTest\windows\system32\brsvc01a.exe"
avz00011.dta = "e:\ForTest\windows\system32\brss01a.exe"
bcqr00001.dta = "e:\ForTest\\C:\WINDOWS\system32\hpilpdgs.dll"
bcqr00002.dta = "e:\ForTest\\C:\WINDOWS\system32\hpilpdgs.dll"
bcqr00003.dta = "e:\ForTest\\C:\WINDOWS\system32\dkcoamxi.dll"
bcqr00004.dta = "e:\ForTest\\C:\WINDOWS\system32\dkcoamxi.dll"
bcqr00005.dta = "e:\ForTest\\C:\WINDOWS\system32\ssqpo.dll"
bcqr00006.dta = "e:\ForTest\\C:\WINDOWS\system32\ssqpo.dll"
bcqr00007.dta = "e:\ForTest\\C:\WINDOWS\system32\efccbba.dll"
bcqr00008.dta = "e:\ForTest\\C:\WINDOWS\system32\efccbba.dll"
bcqr00009.dta = "e:\ForTest\\c:\windows\system32\brsvc01a.exe"
bcqr00010.dta = "e:\ForTest\\c:\windows\system32\brsvc01a.exe"
bcqr00011.dta = "e:\ForTest\\c:\windows\system32\brss01a.exe"
bcqr00012.dta = "e:\ForTest\\c:\windows\system32\brss01a.exe"
[/code]

[b]Лечение : [/b]

1. Отключиться от интернета и выключить активный
мониторинг антивируса.Он просто будет мешать.
2.выполнить скрипт в авз.

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\Documents and Settings\Administrator\Local Settings\Temp\fieypjpg.dll');
DeleteFile('c:\Documents and Settings\Administrator\Local Settings\Temp\fqtqkrup.dll');
DeleteFile('c:\Documents and Settings\Administrator\Local Settings\Temp\hhmfkhmj.dll');
DeleteFile('c:\Documents and Settings\Administrator\Local Settings\Temp\nlnrnfwc.dll');
DeleteFile('c:\Documents and Settings\Administrator\Local Settings\Temp\pujulgcv.dll');
DeleteFile('c:\Documents and Settings\Administrator\Local Settings\Temp\tdavqmpb.dll');
DeleteFile('c:\Documents and Settings\Administrator\Local Settings\Temp\vthtcage.dll');
DeleteFile('c:\WINDOWS\system32\ssqpo.dll');
DeleteFile('c:\WINDOWS\system32\efccbba.dll');
DeleteFile('C:\WINDOWS\system32\hpilpdgs.dll');
DeleteFile('C:\WINDOWS\system32\dkcoamxi.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
3.После автоматической перезагрузки сделать новые логи по правилам .
4. Включить антивирус и прикрепить новые логи к следующему сообщению .

logi

a syscheck ne daet zagruzit

1.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[code]
O2 - BHO: (no name) - {4B646AFB-9341-4330-8FD1-C32485AEE619} - C:\WINDOWS\system32\umxaxcwj.dll
O2 - BHO: (no name) - {97A8B0F7-AD05-4AA4-B475-7EFA330F6AC1} - C:\WINDOWS\system32\efccbba.dll (file missing)
O2 - BHO: (no name) - {D5B3DD00-ECC8-46DA-BA81-EAA01F25BF98} - C:\WINDOWS\system32\ssqpo.dll (file missing)
O20 - Winlogon Notify: efccbba - efccbba.dll (file missing)
O20 - Winlogon Notify: ssqpo - C:\WINDOWS\
[/code]
2.Отключиться от интернета и выключить активный
мониторинг антивируса.Он просто будет мешать.
выполнить скрипт в AVZ :
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\umxaxcwj.dll','');
QuarantineFile('C:\Documents and Settings\Administrator\Local Settings\Temp\eccouhik.dll','');
DeleteFile('C:\WINDOWS\system32\umxaxcwj.dll');
DeleteFile('C:\Documents and Settings\Administrator\Local Settings\Temp\eccouhik.dll');
BC_ImportQuarantineList;
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

После автоматической перезагрузки :Почистите временные файлы !!!
сделать новые логи по правилам .
4. Включить антивирус и прикрепить новые логи к следующему сообщению .
надо старые логи удалять , тогда и будут новые прикрепляться ;)
5. eccouhik.dll ,umxaxcwj.dll из карантина авз доставить по правилам .
6.Я так понял по работе:
D:\docum\Borka\Radio\WINSCOPE\L-Card\USB\E270\EXAMPLE.D\example.exe
D:\docum\Borka\Optimized\Схемы\lpt\lpt.zip
надобно отослать Олегу Зайцеву прямиком (мыло в самой программе avz)

Некоторые файлы из темпа не удалились

Логи чистые, проблема еще проявляется?

нет покаб спасибо за помощь!!!

Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Удачи!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\administrator\\local settings\\temp\\eccouhik.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\administrator\\local settings\\temp\\fieypjpg.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\administrator\\local settings\\temp\\fqtqkrup.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\administrator\\local settings\\temp\\hhmfkhmj.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\administrator\\local settings\\temp\\nlnrnfwc.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\administrator\\local settings\\temp\\pujulgcv.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\administrator\\local settings\\temp\\tdavqmpb.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\documents and settings\\administrator\\local settings\\temp\\vthtcage.dll - [B]Trojan-Spy.Win32.VBStat.h[/B][*] c:\\windows\\system32\\efccbba.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.jp[/B] (DrWEB: Trojan.Virtumod)[*] c:\\windows\\system32\\ssqpo.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.fp[/B] (DrWEB: Trojan.Virtumod)[/LIST][/LIST]