Trojan.PWS.LDPinch.1941 и др.

Др. Веб обнаружил и удалил следующий наборчик:

>C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\49YF8PER\mm27nov[3].exe инфицирован Trojan.DnsChange
>C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\49YF8PER\n2_18_09_07_1[1].exe инфицирован Trojan.Inject.487
>C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BNETZ30H\mun1_26_11_070[1].exe инфицирован BackDoor.Bolg
>C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BNETZ30H\mun1_26_11_070[2].exe инфицирован BackDoor.Bolg
>C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BNETZ30H\mun1_26_11_070[3].exe инфицирован BackDoor.Bolg
>C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\BNETZ30H\mun1_26_11_070[4].exe инфицирован BackDoor.Bolg
C:\WINDOWS\system32\msdnc0.exe инфицирован Trojan.PWS.LDPinch.1941
C:\WINDOWS\system32\msdnc2.exe инфицирован Trojan.Proxy.2346
C:\WINDOWS\system32\msdnc7.exe инфицирован Trojan.PWS.Webmonier

Сразу хочу заметить, что базы АВЗ недельной давности, не было возможности обновиться.

1. Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe','');
QuarantineFile('C:\Documents and Settings\Трухина\UserData\msdnc7.exe','');
QuarantineFile('C:\DOCUME~1\7B42~1\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\burito7495-57dd.sys','');
QuarantineFile('C:\WINDOWS\system32\burito3523-1c39.sys','');
QuarantineFile('C:\WINDOWS\system32\burito25d3-6b55.sys','');
QuarantineFile('C:\WINDOWS\system32\burito10b7-9d.sys','');
DeleteFile('C:\WINDOWS\system32\burito10b7-9d.sys');
DeleteFile('C:\WINDOWS\system32\burito25d3-6b55.sys');
DeleteFile('C:\WINDOWS\system32\burito3523-1c39.sys');
DeleteFile('C:\WINDOWS\system32\burito7495-57dd.sys');
DeleteFile('C:\DOCUME~1\7B42~1\LOCALS~1\Temp\winlogon.exe');
DeleteFile('C:\Documents and Settings\Трухина\UserData\msdnc7.exe');
DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите карантин согласно приложению 3 правил.

2. Удалите временные файлы IE через Свойства Обозревателя
и очистите полностью папки:
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files
C:\WINDOWS\Temp

3. Сделайте новые логи.

Карантин закачал, удалил временные файлы IE через Свойства Обозревателя и полностью очистил папки:
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files
C:\WINDOWS\Temp

Логи прилагаются:

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/CODE]Повторите логи.

скрипт выполнен, логи прилагаю:

в логах стерильно чисто ..

Кстати - был пинч, надо менять пароли

спасибо за напоминание :) можно добавлять в раздел FAQ тему "Поймал пинча - меняй пароли".

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\burito10b7-9d.sys - [B]Email-Worm.Win32.Zhelatin.sd[/B] (DrWEB: Trojan.Spambot.2569)[*] c:\\windows\\system32\\burito25d3-6b55.sys - [B]Email-Worm.Win32.Zhelatin.sd[/B] (DrWEB: Trojan.Spambot.2569)[*] c:\\windows\\system32\\burito3523-1c39.sys - [B]Email-Worm.Win32.Zhelatin.sd[/B] (DrWEB: Trojan.Spambot.2569)[*] c:\\windows\\system32\\burito7495-57dd.sys - [B]Email-Worm.Win32.Zhelatin.sd[/B] (DrWEB: Trojan.Spambot.2569)[/LIST][/LIST]