Гадюшник - Trojan.Copier + Trojan.Copyself

Ноутбук отдыхал в Индии. Предавался многочисленным и случайным сношениям с симпатичными аборигенными Интернет-кафе посредством LAN порта.
По приезде домой хозяин заподозрил неладное.

[COLOR=Olive]Dr.Web[/COLOR] нашел:[LIST][*][COLOR=Red]Trojan.MulDrop.4181[/COLOR][*][COLOR=Red]Trojan.DownLoader.10355[/COLOR][*][COLOR=Red]Trojan.Copier[/COLOR][*][COLOR=Red]Trojan.Copyself[/COLOR][/LIST]При чём два последних имели пафосное примечание “неизлечим”.

[B]P.S.[/B]: Строчку [COLOR=Blue][B]F3[/B][/COLOR] в [COLOR=Olive]HijackThis[COLOR=Black] пофиксил сразу - достали сообщения при загрузке. Кстати, это предсмертная работа [COLOR=Red]Trojan.MulDrop.4181[/COLOR].[/COLOR][/COLOR]

C:\autorun.inf - это что за гадость? Похоже надо искать autorun.* на всех дисках + см. совет Bratez в Чаво (если не открываются диски)
C:\WINDOWS\svchost.exe - этого в карантин, если найдется и прислать.

Не вижу антивируса :(, или он отключен.

Есть подозрение, что пароли с этого компа уже известны в другом месте.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\svchost.exe','');
DeleteFile('C:\WINDOWS\svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]F3 - REG:win.ini: load=C:\WINDOWS\svchost.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k[/CODE]
Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Повторите логи. Установите антивирус и очень желательно файрвол.

Я так полагаю, добрый хозяин не снабдил своего мобильного друга антивирусом, так как при обследовании мной файловой структуры диска, следы антивируса также не были замечены :).

Налицо изъян культуры - врядли неосведомленность...

[LIST=1][*]При выполнении скрипта уважаемого [B]MaXim[/B]'a [COLOR="Green"]AVZ[/COLOR] несколько раз выкинул в протокол красную строчку типа "[COLOR="Red"][B]ошибка прямого чтения[/B][/COLOR]". Точнее не скажу - видел полсекунды - дальше машина ушла в перезагрузку. После перезагрузки выяснилось, что карантин пустой.[*]Вручную (визуальный осмотр директории), а так же пользуясь поиском [COLOR="Green"]AVZ[/COLOR] выявить левый [COLOR="Blue"]svchost.exe[/COLOR] не удалось.[*]Из найденого - [COLOR="Blue"]autorun.inf[/COLOR] запускал [COLOR="Blue"]copy.exe[/COLOR] из корня.[*]При выдергивании флешки из зараженной машины и подключения её к чистой, защищенной [COLOR="Green"]Avast![/COLOR]'ом, выявился [COLOR="Red"][B]Win32.perlovga[/B][/COLOR] в корневом файле [COLOR="Blue"]copy.exe[/COLOR]. [COLOR="Blue"]autorun.inf[/COLOR] там тоже присутствовал с соответствующей записью.[*]При повторном цикле перевтыканий флешки был выявлен [COLOR="Green"]Avast![/COLOR]'ом [COLOR="Red"][B]Win32.Trojan-gen[/B][/COLOR] в корне флешки - в файле [COLOR="Blue"]host.exe[/COLOR].[*]Что может быть важно - забыл загрузить IE перед запуском [COLOR="Green"]AVZ[/COLOR]. Мой косяг :([*]Запустил создание логов заново - [COLOR="Green"]AVZ[/COLOR] бодренько отыскал и перетащил себе старый карантин [COLOR="Green"]DrWeb[/COLOR]'a, промаркировав найденых зверей по-своему.[*]Загрузил карантин на virusinfo.info:


[LIST][*]Файл сохранён как - 070603_182756_virus_4662cfec468f4.zip[*]Размер файла - 586[*]MD5 - 18b94fc13f7403dc4f4fc321e0079bd4[/LIST]

[*]В карантин файлы, описаные мной в пункте №7 не попали, так как они не в карантине, а в папке Infected. Её я не загружал.[/LIST]

Hijackthis всё корректно отработал

Чтоб не было путаницы сделал логи ещё раз.

В логах полная чистота. Всем бы так ;)

Э-э-э, да всё бы так...
Но терзат меня смутные сумнения.... :)

Простите мою некомпетентность, но а это что за зверь ([COLOR="Blue"]virusinfo_syscheck.zip[/COLOR]):

[QUOTE]1.4 Поиск маскировки процессов и драйверов
Видимый процесс с PID=1596, имя = "\Device\HarddiskVolume1\WINDOWS\system32\wbem\wmiadap.exe"
>> обнаружена подмена имени, новое имя = "\\?\c:\windows\system32\wbem\wmiadap.exe"[/QUOTE]

и с чем его едятЪ? :)

См. ссылку [url]http://www.processlibrary.com/directory/files/wmiadap[/url]

Ага. Понял. Зверь типа W32.Joke :):)

Спасибо за ликбез.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]