iBank - опять кажется завелся!

Пару месяцев назад, в феврале уже обнаруживал и лечил, в том числе и через этот форум, iBank троян.

Я пользователь интернет-банкинга. И вот, сегодня мне звонят из банка и говорят, что у меня седьмой из восьми уровень подозрения на троян и все платежки от меня теперь будут переподтверждаться звонком из банка. Нужно дескать решать проблему с трояном. Как их (банка) Java аплет обнаруживает троян - я не в курсе, видимо какими-то эвритическими способами.

Причем второй уровень тревоги, со слов програмиста из банка, у меня был еще с конца 2011 года.

Пропаж денег я не обнаружил.

Все сканы делал с воткнутым еТокеном-донглом-флешкой в USB, потому что программист сказал, что подобные трояны активизируются при использовании донгла и создают скрытые поручения-переводы в банк.

Хелп!

Уважаемый(ая) [B]MamaINeedHelp[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Дополнительно выкладываю лог GMER.

Там есть подозрительные записи RAdmin.

Хелп.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\PROGRA~1\ACCESS~1\Apsm.sys','');
QuarantineFile('0.exe','');
QuarantineFile('C:\WINDOWS\TEMP\1X83j2eo.sys','');
DeleteFile('C:\WINDOWS\TEMP\1X83j2eo.sys');
DeleteFile('0.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\WOW\boot','previousProjectorProcessID');
executerepair(10);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

Выслал карантин и прикладываю лог MBAM.

Жду до сих пор.

[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:
[CODE]HKCR\CLSID\{82184935-B894-4AB2-8590-603BA7D74B71} (Trojan.WebMoner) -> Действие не было предпринято.
HKCR\Books.eProtocol (Trojan.WebMoner) -> Действие не было предпринято.
HKCR\Typelib\{431D251C-B43A-47d7-B4F4-07A101B432D6} (Trojan.BHO) -> Действие не было предпринято.
HKCR\Interface\{8CB0D898-A6A2-48c3-BBD7-862F85B18D46} (Trojan.BHO) -> Действие не было предпринято.
HKCR\DOWNLOADER.DownLoaderCtrl.1 (Adware.2020search) -> Действие не было предпринято.
HKLM\System\CurrentControlSet\Services\XPROTECTOR (Backdoor.Trojan) -> Действие не было предпринято.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer|NoSMHelp (PUM.Hijack.Help) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

[/CODE]

Файл C:\WINDOWS\system32\inject.dll запакуйте в zip-архив и загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.


[quote="MamaINeedHelp;893119"]Там есть подозрительные записи RAdmin.[/quote]
RAdmin сами устанавливали?

[b]Techno[/b],

inject.zip залил. А вот насчет RAdmin точно не уверен, в последние годы точно нет, но опять же не помню чтобы его устанавливал.

Строчка в реестре пустая. Наверное антивирусники такую тулзу бы давно обнаружили? Но у меня 100% доверия нет антивирусникам.

Лицензионный DrWeb обновляющийся на автомате каждые 30 минут, профукал действующий iBank троян-скрипт в Java. Казалось бы, уж чего страшнее троянов ворующих деньги с интернет-банкинга можно придумать.

[quote="MamaINeedHelp;894398"]inject.zip залил[/quote]
Чистый...

Что с проблемами?

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в AVZ[/URL] скрипт из файла [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]
- Откройте файл [B]avz_log.txt[/B] из под-папки [B]LOG[/B].
- Пройдитесь по ссылкам из файла [B]avz_log.txt[/B] и установите важные обновления.
- Перезагрузите компьютер.
- Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.

Проблема простая - ветка HKLM/System/RAdmin - не удаляется (ошибка при удалении раздела).

Нездоровая какая-то ситация.

[B]Techno[/B]

Ну так что с RADmin то делать? Сидит же наверняка, ветка защищенная в реестре удалить не могу, посмотреть что внутри тоже не могу.

[quote="MamaINeedHelp;894764"]Проблема простая - ветка HKLM/System/RAdmin - не удаляется (ошибка при удалении раздела).[/quote]
Права на ветку себе дайте...

Я сделал вот что: добавил себя в Разрешениях, плюс поставил Полный доступ. После этого эта ветка стала открываться, там пара вложенных папок (ключей нет) и последняя папка из двух непечатных символов. Удалить в итоге ничего не могу. Возможно, эти непечатные символы есть некая защита от доступа.

Хелп!

Что Вы пытаетесь удалить и что он пишет Вам при удалении?

Проще скриншоты выложить.

На первом сообщение ошибки, если я навожу курсор на вложенную папку из двух непечатных символов. На втором пытаюсь удалить всю папку RAdmin.

Попробуйте через командную строку:
[CODE]reg delete HKLM/System/RAdmin[/CODE]

Пишет ошибка: системе не удалось найти указанный раздел или параметр реестра.

Делаю так: cmd /k reg delete HKLM\System\RAdmin

[url]http://support.microsoft.com/kb/2021860/ru[/url]

Спасибо.

Утилитка RegDelNull сработала.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]