вылезает Trojan.PWS.LDPinch.1417

Здравствуйте, Господа!

Др.Веб периодически ловит:
20-06-2007 15:57:56 [CL] C:\System Volume Information\_restore{5B942C52-3EC6-4393-ADAF-2DA421A20CCE}\RP99\A0028486.exe - инфицирован Trojan.PWS.LDPinch.1417

fixmbr сообщил о нестандартном загрузчике, был переписан. Chkdsk также глюрит(atapi.sys?). Хэлп, плиз.

С уважением..
HM

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
ClearQuarantine;
BC_QrSvc('runtime2');
BC_QrFile('C:\Windows\system32\drivers\runtime2.sys');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\Windows\system32\drivers\runtime2.sys');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.compaq.com/2Q00CPT/0409/bF8.asp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://go.compaq.com/2Q00CPT/0409/bF7.asp
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\HM\LOCALS~1\Temp\winlogon.exe[/CODE]
Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Повторите логи.

пока avz работает, хотел спросить следующее. то, что startdrv рожается именно runtime2 - это понятно. но меня смутило то, что runtime2 не было видно. PsSetCreateProcessNotifyRoutine юзается? на то и расчет, что на "отсутствующий" файл никто внимание не обратит? и куда DrWeb тогда смотрит?

прошу прощения, если вопросами "достал".

логи прилагаются. спасибо за помощь!

[QUOTE]но меня смутило то, что runtime2 не было видно.[/QUOTE]runtime2 - руткит. Его не видно из под Windows.[QUOTE]и куда DrWeb тогда смотрит?
[/QUOTE]Вот это я тоже хотел бы знать. Касперский его уже давно детектит.

Может, и увидит, если Спайдер из оптимального режима в тяжёлый перевести.

[b]Пароли нужно менять!!![/b] Pinch-то он на это заточен.

[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O4 - HKLM\..\Run: [Mirabilis ICQ] ;;;C:\PROGRA~1\ICQ\ICQNet.exe
O4 - HKLM\..\Run: [NeroFilterCheck] ;;;C:\Windows\system32\NeroCheck.exe
O4 - HKLM\..\Run: [GCXX-Manager-Class] ;"C:\Program Files\Sony Ericsson\Wireless Manager\GCXXManager.exe" -startup
O4 - HKCU\..\Run: [MSMSGS] ;;;"C:\Program Files\Messenger\msmsgs.exe" /background[/CODE]Повторите логи.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\temp\\startdrv.exe - [B]Trojan-Downloader.Win32.Agent.brl[/B] (DrWEB: BackDoor.Bulknet)[/LIST][/LIST]