Новый Вирус? Win32:Trojan-gen. {Other} или DLOADER.Trojan

Началось давно.
1. Пропал QIP... Просто пропало часть файлов и не устанавливалось никак... Уж не знаю связанно ли это как то с основной проблемой:

2. Каждые 5 минут срабатывает Аваст и пишет: Заражен C:\WINDOWS\system32\drivers\flo_drv2.sys вирусом Win32:Trojan-gen. {Other}. Проверка этого файла доктором Вебом усложняется тем, что Аваст постоянно его стирает. Ага появился:

[B][B]Размер файла:[/B] 2868 байт
[/B][COLOR=#007700][B]flo_drv2.sys[/B] - OK[/COLOR]

Но! в этой папке точно есть вот это: [B][B]

Размер файла:[/B] 9908 байт
[/B][B][B]_svchost.exe[/B] packed by MEW[/B]
[COLOR=#dd0000][B]В файле >[B]_svchost.exe[/B] возможно обнаружен вирус DLOADER.Trojan

[/B][COLOR=Black]мне кажется именно он генерит вирус в этот ФЛО-ДРВ2.СИС....

Как положено, я сделал проверку Куритом (чисто), затем авздом, который таки нашел проблемку в [/COLOR][/COLOR][COLOR=#dd0000][B][B]_svchost.exe

СПАСИБО ЗА ПОМОЩЬ

[/B][/B][I][COLOR=Black]PS: Показалось мне или нет, но когда я запустил первую проверку AVZ, вернулся... а AVZ нету... Я запустил еще раз...Все получилось...[/COLOR][/I]
[/COLOR]

Сканировать с cureit в безопасном режиме, тогда и аваст мешать не будет.
Скачать последнею версию AVZ и обновить её базы, лишь только потом делать логи.Эти удалить.

Извините за ошибку, возможно я нечайно из другой папки запустил AVZ, щас все переделаю.

(Но CureIt я запускал в безопасном)

Пошел работать над ошибками.

[url]http://z-oleg.com/-[/url] в верхнем углу справа: данные по последней версии, а старыми версиями зачем пользоваться ?

та не... яж новорю неиз той папки пусканул, видимо я сгоряча запустил старую версию хотя новая тоже была.

Но во этот раз я все сделал чотко:
Скачал новый AVZ, обновил базы - чтобы точно было все новым:
Ну а затем в БЕЗОПАСНОМ РЕЖИМЕ прокурил (на всякий случай с логом).
Затем без приложений выполнил скрипт, затеи перегруз , и еще скрипт, ну и ХаДжек. - посмотрите плиз, не пинайте , если что :)

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\ORION и Тотошка\Application Data\Mra\Update\mrasearch.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\_svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\RLvackmd.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\flo_drv2.sys','');
QuarantineFile('C:\WINDOWS\System32\rlvacumd.dll','');
QuarantineFile('C:\WINDOWS\system32\msapp.exe','');
QuarantineFile('C:\WINDOWS\system32\daoprint.dll','');
QuarantineFile('C:\WINDOWS\system32\LVCOMSX.EXE','');
QuarantineFile('C:\DOCUME~1\ORION~1\LOCALS~1\Temp\wschtm35.dll','');
QuarantineFile('C:\WINDOWS\system32\fpopmd.dll','');
DeleteFile('C:\WINDOWS\system32\drivers\_svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
F2 - REG:system.ini: Shell=Explorer.exe %SystemRoot%\system32\drivers\_svchost.exe
O20 - Winlogon Notify: AutorunsDisabled - C:\WINDOWS\[/CODE]
Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Повторите логи.

После выполнения скрипта MaXim'a, Hi Jack не находит ключа F2.

Жду. Фиксить ли другие ключи?

Карантин выслан

ЗЫ Извините а логи как повторить? Прогнать ОБА скрипта АВЗ? (без Cure It?)

[QUOTE]Hi Jack не находит ключа F2[/QUOTE]Это хорошо.
[QUOTE]Фиксить ли другие ключи?[/QUOTE]Остальные, которые я назвал.
[QUOTE]ЗЫ Извините а логи как повторить?[/QUOTE]Так как делали в пятом посте. Без CureIt.

Готово.

Люди! Скажите плиз, все ли у меня хорошо? Спасибо.

вроде всё ;)аналитики каспера посмотрели тоже, всё остальное чистое. Только вот этот файлик поискать : msapp.exe
Вот папку писем из бата подчистить надо:
C:\Program Files\The Bat!\Mail\ModernTalking\Attach\message.zip/{ZIP}/message.dat.pif >>>>> Email-Worm.Win32.Warezov.dn
C:\Program Files\The Bat!\Mail\ModernTalking\Attach\postcard.zip/{ZIP}/postcard.exe >>>>> Trojan-Downloader.Win32.Small.edn
C:\Program Files\The Bat!\Mail\ModernTalking\Attach\postcard1.zip/{ZIP}/postcard.exe >>>>> Email-Worm.Win32.Warezov.jq
C:\Program Files\The Bat!\Mail\ModernTalking\Attach\Update-KB1875-x86.zip/{ZIP}/Update-KB1875-x86.exe >>>>> Email-Worm.Win32.Warezov.ls
C:\Program Files\The Bat!\Mail\ТОТОШКА\Attach\February_price.zip/{ZIP}/betucrq.exe >>>>> Email-Worm.Win32.Bagle.fj
C:\Program Files\The Bat!\Mail\ТОТОШКА\Attach\Margarett.zip/{ZIP}/FOTO_532.exe >>>>> Trojan-Downloader.Win32.Bagle.p
C:\Program Files\The Bat!\Mail\ТОТОШКА\Attach\new_price.zip/{ZIP}/twevvum.exe >>>>> Email-Worm.Win32.Bagle.fj
C:\Program Files\The Bat!\Mail\ТОТОШКА\Attach\pricelist.zip/{ZIP}/mepvvkkvp.exe >>>>> Email-Worm.Win32.Bagle.fj
C:\Program Files\The Bat!\Mail\ТОТОШКА\Attach\price_lst.zip/{ZIP}/ygbpimx.exe >>>>> Email-Worm.Win32.Bagle.fj

Также почистить временные файлы.

[COLOR=Red][COLOR=Black]Делал согласно правилам (приложение2) - добавление файла в карантин по списку:[/COLOR]

Ошибка карантина файла "msapp.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла "C:\WINDOWS\msapp.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла "C:\WINDOWS\system32\msapp.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка[/COLOR]


и карантин - пуст

в безопасном режиме искать по инструкции :
[url]http://virusinfo.info/showthread.php?t=4567[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\flo_drv2.sys - [B]Trojan-Proxy.Win32.Agent.mj[/B] (DrWEB: Trojan.Proxy.2154)[*] c:\\windows\\system32\\drivers\\_svchost.exe - [B]Trojan-Proxy.Win32.Agent.mj[/B] (DrWEB: Trojan.Proxy.2975)[/LIST][/LIST]