Нейросеть: файл с вероятностью 99.55% похож...

Здравствуйте! суть моя такова:

AVZ предупрелил:
[quote]
C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysWFGQQ2.dll --> Подозрение на Keylogger или троянскую DLL
C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysWFGQQ2.dll>>> Поведенческий анализ:
1. Реагирует на события: клавиатура, мышь, оконные события
C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysWFGQQ2.dll>>> Нейросеть: файл с вероятностью 99.55% похож на типовой перехватчик событий клавиатуры/мыши
На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ), т.к. существует множество полезных DLL-перехватчиков
[/quote]
и
[quote]
6. Поиск открытых портов TCP/UDP, используемых вредоносными программами
В базе 317 описаний портов
На данном ПК открыто 30 TCP портов и 11 UDP портов
>>> Обратите внимание: Порт 5000 TCP - Cервис UPNP, Bubbel, Back Door Setup, Sockets de Troie, Socket 23 (c:\windows\system32\svchost.exe - опознан как безопасный процесс)
На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ и справке)
[/quote]

Как это удалить подскажите, уже многое перепробовал.

Заранее Спасибо.

1. Пришлите файл C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysWFGQQ2.dll как написано в приложении 2 правил.

2. Отключите следующие службы:
Служба обнаружения SSDP
Узел универсальных PnP-устройств

3. Скачайте свежую версию AVZ 4.25, обновите ее базы и сделайте
[B]оба лога AVZ [/B]по правилам.

1. прислал.
2. +
3. +

Saimon,новые логи от AVZ должны быть прикреплены к теме, а старые логи должны быть удалены. Ничего из этого вы пока не сделали.

вот..
А сам сам файл загрузил как в приложении 2.

SysWFGQQ2.dll - [B]Trojan-PSW.Win32.QQPass.wh[/B]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysWFGQQ2.dll');
BC_DeleteFile('C:\Program Files\Common Files\Microsoft Shared\MSINFO\SysWFGQQ2.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Во время выполнения логов карантин пополнился, пришлите его согласно приложению 3 правил.

[B]Базы AVZ обновите!![/B]

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\svchost.exe','');
QuarantineFile('c:\windows\system32\caprpcsk.exe','');
QuarantineFile('C:\WINDOWS\expimg.exe','');
QuarantineFile('C:\WINDOWS\System32\zdPrypt.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
Загрузите весь карантин, кроме тех файлов которые уже загружали.

[url]http://virusinfo.info/upload_virus.php?tid=10275[/url]

Похоже сам експлорер у вас затрояненый ;)

базы обновил +

первый скрипт выполнился без ошибок, перезагрузился удачно.
второй скрипт выполнился без ошибок, "доперезагрузиться" не смог, оставив висеть только обои с Латицией Каста и белый курсорчик мыши.:) помог RESET.

карантин прикрепил через
[URL]http://virusinfo.info/upload_virus.php?tid=10275[/URL]

Ой, сорри закачал предыдушие файлы опять(вместе с новыми).

P.S. Ура! один вроди бы готов. файла SysWFGQQ2.dll в директории C:\Program Files\Common Files\Microsoft Shared\MSINFO нет.

C:\WINDOWS\system32\tmp_4.dll - [B]Trojan-Downloader.Win32.Small.cyn[/B]
C:\WINDOWS\system32\msvcrl.dll,
C:\Documents and Settings\NNN\Local Settings\Temp\pda4BB.tmp,
[U]C:\Program Files\Internet Explorer\iexplore.exe [/U]- [B]Trojan-Spy.Win32.Goldun.ms[/B]
остальное чистое.
У вас есть под рукой дистрибутив вашей версии Windows?

Дистр-ва нет. Машина рабочая, установлена ОС была задолго до моего принятия на работу.

Тогда так:
1. Скачайте [URL="http://users.telenet.be/marcvn/tools/haxfix.exe"]утилиту HaxFix[/URL].
2. Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\NNN\Local Settings\Temp\pda4BB.tmp');
DeleteFile('C:\WINDOWS\system32\msvcrl.dll');
DeleteFile('C:\WINDOWS\system32\tmp_4.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится и IE перестанет запускаться.

3. Установите утилиту, запустите и выберите автоматический фикс.
IE должен быть вылечен.

Все-таки 100% гарантии по 3-му пункту нет, так что вероятно стоит запастись дистрибутивом какого-либо альтернативного браузера.

1. +
2. +
3. + (вылечился.. заражённый файл iexplore.old удалил).

Спасибо огромное! Всё чисто.

Единственное что вызывает опасение:

[SIZE=2]На данном ПК открыто 18 TCP портов и 10 UDP портов[/SIZE]
[SIZE=2][COLOR=#ff0000]>>> Обратите внимание: Порт 5000 TCP - Cервис UPNP, Bubbel, Back Door Setup, Sockets de Troie, Socket 23 (c:\windows\system32\svchost.exe - опознан как безопасный процесс)[/COLOR][/SIZE]
[SIZE=2]На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ и справке)[/SIZE]

[QUOTE]>>> Обратите внимание: Порт 5000 TCP - Cервис UPNP, Bubbel, Back Door Setup, Sockets de Troie, Socket 23 (c:\windows\system32\svchost.exe - опознан как безопасный процесс)[/QUOTE]
Об этом я уже писал:

[B]Отключите следующие службы:[/B]
Служба обнаружения SSDP
Узел универсальных PnP-устройств

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\nnn\\local settings\\temp\\pda4bb.tmp - [B]Trojan-Spy.Win32.Goldun.ms[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\program files\\common files\\microsoft shared\\msinfo\\syswfgqq2.dll - [B]Trojan-PSW.Win32.QQPass.wh[/B] (DrWEB: Trojan.PWS.Qqpass.831)[*] c:\\program files\\internet explorer\\iexplore.exe - [B]Trojan-Spy.Win32.Goldun.ms[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\windows\\expimg.exe - [B]HEUR:Trojan.Win32.Generic[/B][*] c:\\windows\\system32\\msvcrl.dll - [B]Trojan-Spy.Win32.Goldun.ms[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\windows\\system32\\tmp_4.dll - [B]Trojan-Downloader.Win32.Small.vwd[/B] (DrWEB: Trojan.DownLoader.14310)[/LIST][/LIST]