Исходящий трафик svchost.exe, вирус ZZZ_lich

Вот с такой неприятностью столкнулась. Попыталась самостоятельно убить вирус, но не вышло.
С помощью AVZ удалила файлы [B]lich.exe[/B] и [B]lich.sys[/B] из корневого каталога, а также записи из реестра. Других объектов, относящихся к этому вирусу, не обнаружила. Просканировала диск свежескачанной утилитой Dr. Web CureIt, из вредоносных она нашла только [B]autorun.inf[/B] в папке от флэшки на Рабочем столе, Касперский верещит только на файлы из папки System Volume Information. Восстановление системы я отключила. Но трафик продолжает утекать...

Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('D:\WINDOWS\system32\tmp_o.dll','');
BC_ImportQuarantineList;
BC_QrFile('D:\WINDOWS\system32\msasvc.exe');
BC_DeleteFile('D:\WINDOWS\system32\msasvc.exe');
BC_QrSvc('MsaSvc');
BC_DeleteSvc('MsaSvc');
BC_Activate;
RebootWindows(true);
end.[/code]
Карантин пришлите

Выслала. Жду приговора - форматировать нельзя помиловать :]

Карантин пришел пустой.

Нужно делать новые логи.

Вот эту строчку надо профиксить для порядка:
F2 - REG:system.ini: UserInit=D:\WINDOWS\System32\userinit.exe

Done.

В креках лежат трояны. Их лучше удалить, незаряженное ружье один раз может
выстрелить.
D:\Install Files\MultiTranse\MultiTranse_v4.2.5-DIGERATI\crack.rar/{RAR}/crack.exe >>>>> Trojan-Downloader.Win32.Small.ddp
D:\Install Files\Sothink.SWF.Decompiler.v3.6\crack.rar/{RAR}/crack.exe >>>>> Trojan-Downloader.Win32.Small.ddp

DAP надо бы деинсталлировать. В нем много Adware.

В hijackthis профиксить:
[CODE]O20 - AppInit_DLLs: D:\WINDOWS\system32\tmp_o.dll,D:\PROGRA~1\KASPER~1\KASPER~2.0\adialhk.dll[/CODE]

Через AVZ поискать : D:\WINDOWS\system32\tmp_o.dll. Если найдется, то загрузить в карантин и прислать.

Возможно, после окончания лечения придется переустанавливать Касперского.

Крэки удалены, DAP деинсталлирован, файл D:\WINDOWS\system32\tmp_o.dll не найден, строчка профиксена, Касперский работает нормально.

Я забыла упомянуть, что у меня локальная сеть из двух домашних компьютеров, и трафик идёт то по шлюзу интернета, то по локалке (причём только тогда, когда шлюз включён), а что за трафик, я понять не могу! Раньше его не было, я заметила его при появлении вируса lich.
Разумеется, я проверила и ХР на главном компьютере, ничего подозрительного не было найдено.

Сетевой экран Касперского показывает:
[CODE]SVCHOST.EXE -K NETSVCS TCP Исходящее 192.168.0.61 1067 192.168.0.1 2869 00:01:27 124,3 КБ 65,6 КБ[/CODE]

Надо делать новые логи. Смотреть, что получилось в итоге этих всех разборок.

Я обнаружила ещё два вредоносных объекта, причём глазами :) Антивирусные программы не обращают на них внимания. [B]p423ck.exe[/B] в папке D:\Program Files и [B]desktop.ini[/B] на D. Содержимое desktop.ini мне уже знакомо:[CODE][.ShellClassInfo]
HTMLInfoTipFile=file://Comment.htt
ConfirmFileOp = 0[/CODE]

Восстановление системы: включено \ отключить ....
пофиксите ....
[code]
O9 - Extra button: (no name) - {9819CC0E-9669-4D01-9CD7-2C66DA43AC6C} - (no file)
[/code]
пришлите найденные файлы согласно приложения 3 правил ...

Нашёлся ещё один файл - lich.dat в папке system32, правда пустой.

По окончании лечения смените все пароли... имхо они уже утекли на сторону

[QUOTE=Electrika;157556]Я обнаружила ещё два вредоносных объекта, причём глазами :) Антивирусные программы не обращают на них внимания. [B]p423ck.exe[/B] в папке D:\Program Files [/QUOTE]

Вот этого надо проверить на virustotal.com. О рез-х отпишись.

D:\Program Files\p423ck.exe - [b]Trojan.Win32.Small.vi[/b]
Удалите его.

D:\destop.ini не опасен, но тоже удалите.

[quote=PavelA;157853]Вот этого надо проверить на virustotal.com. О рез-х отпишись.[/quote]
Поздно, уже удалила его...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\program files\\p423ck.exe - [B]Trojan.Win32.Small.vi[/B] (DrWEB: Trojan.PWS.LDPinch.2526)[/LIST][/LIST]