SpamTool.Win32.Agent.ej :: Trojan.Win32.KillAV.ne

Всем доброй ночи=)
Поймал я, по анализу Касперского, след. вирусы
SpamTool.Win32.Agent.ej
Trojan.Win32.KillAV.ne

Работа этих гадостей проявляется в:
SpamTool.Win32.Agent.ej: создании .exe файлов, с именем win%rnd%.exe, где %rnd% случайный набор 4-х букв (Папка %USERPROPFILE%\Local Settings\Temp\), которые потом поселяются "Процессах" по одному. Те .ехе файлы, которые носят определенную иконку и имя производителя "q" иногда палятся в "Приложениях" не отвечающим приложением xmlscript. при удалении сего богатства, оно восстанавливается через некоторое время и все начинается заново. Создавалось нечто подобное и в папке WINDOWS\Temp, но это удалось пресечь в реестре. Еще постоянно жалуется на отсуствие диска в дисководе от имени других программ. Пока вроде больше ничего не заметил.

Trojan.Win32.KillAV.ne: создании в папке WINDOWS\system32 файлов %rnd%337215.dl_ и %rnd%337215.dll, где %rnd% случайный набор из 2-х букв и последующем заражении файлов программ, в некоторых случаях повреждении оных.

Прошу помощи удалении всей этой мерзости.
Заранее благодарен.:cool:

1 Восстановление системы: включено -отключить ....
2 выполнить пукт 2 правил ... записавшись на сd
3 повторить логи ...

сделал все по плану, восстановление пока не включал обратно.

Скачайте заново утилиты, обновите базы AVZ.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\11st830Q.exe','');
QuarantineFile('c:\windows\system32\winlogon.exe','');
DeleteFile('C:\WINDOWS\system32\11st830Q.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил. Повторите логи.

Установочный диск Windows есть?

Все сделано, диск установочный есть, только с него восстановления системы не делается, только устанавливать заново :mad:

[QUOTE=Wolfikus;171438]Все сделано, диск установочный есть, только с него восстановления системы не делается, только устанавливать заново :mad:[/QUOTE]Спокойно! Я только спросил! Объясните по-подробнее какое восстановление Вы имеете ввиду? Где повторные логи? AVZ скачали заново?

Вот всё с пылу с жару :smile: Под восстановлением понимаю перезапись основы Виндоус без нарушения уже существующих структур файлов, установленных программ и настроек.

Удалите MegaUpload Toolbar. Удалите все задания планировщика задач.

Пуск - Выполнить:
Введите комадну: sfc /scannow
Windows будет проверять целостность защищённых файлов на вашем компе. Для восстановления может потребоваться установочный диск ОС.

Повторите лог virusinfo_syscheck.zip

Все сделано.:xmas:

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\6B03~1\LOCALS~1\Temp\catchme.sys','');
QuarantineFile('C:\DOCUME~1\6B03~1\LOCALS~1\Temp\ldiskl.sys','');
QuarantineFile('c:\windows\system32\mssrv32.exe','');
StopService('msupdate');
DeleteFile('c:\windows\system32\mssrv32.exe');
BC_DeleteSvc('msupdate');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

отослано

mssrv32.exe - [b]Backdoor.Win32.Kbot.av[/b]

mssrv32.exe - [b]Backdoor.Win32.Kbot.av[/b]
остальные двое отсутствуют.

Выполните скрипт в AVZ:
[code]
begin
SetAVZGuardStatus(True);
DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{EF99BD32-C1FB-11D2-892F-0090271D4F88}');
DelBHO('{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}');
DelBHO('{02478D38-C3F9-4EFB-9B51-7695ECA05670}');
BC_DeleteSvc('ldiskl');
BC_DeleteSvc('catchme');
BC_Activate;
RebootWindows(true);
end.[/code]
Сделайте новые логи, начиная с п.10 правил.

Готово

Можете пофиксить:
[code]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.apeha.ru/[/code]
Эту страничку обычно устанавливают программы\игры без подтверждения пользователя.
Больше плохого не вижу - есть жалобы?
Что из этого не нужно?

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule ()
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Спасибо всем огромное за оперативную помощь!:rolleyes:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mssrv32.exe - [B]Backdoor.Win32.Kbot.av[/B] (DrWEB: Trojan.MulDrop.8347)[/LIST][/LIST]