svhost.exe,ftpdll.dll и другое зверье

Просканировал NOD-ом, нашел какие-то левые exe-ки типа
1345465.exe и другие. Появилась новая служба WWWProvider и в процессах висят непонятные exe. Логи прилагаю.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Дима2\Local Settings\Application Data\cftmon.exe','');
SetServiceStart('Schedule', 4);
DeleteService('Schedule');
QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
QuarantineFile('c:\windows\system32\bim\svchost.exe','');
DeleteFile('c:\windows\system32\drivers\spools.exe');
DeleteFile('c:\windows\system32\bim\svchost.exe');
DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
DeleteFile('C:\Documents and Settings\Дима2\Local Settings\Application Data\cftmon.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

Пока отослал карантин...

[b]Backdoor.Win32.Agent.eom[/b] C:\Documents and Settings\Дима2\Local Settings\Application Data\cftmon.exe
[b]Backdoor.Win32.Agent.eom[/b] C:\WINDOWS\system32\drivers\spools.exe
c:\windows\system32\bim\svchost.exe - cвежий
C:\WINDOWS\system32\sysfldr.dll - тоже

Повторные логи

virusinfo_cure из поста уберите, логи сейчас гляну

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Выполните
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\sysfldr');
QuarantineFile('C:\Documents and Settings\Дима2\ftpdll.dll','');
QuarantineFile('C:\WINDOWS\system32\ftpdll.dll','');
DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
BC_ImportAll;
BC_DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Пришлите новый карантин

Карантин необходимо присылать по ссылке сверху..:)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Отсюда удалите...

Высылаю новый карантин. Чего-то не выходит удалить вложение. Извиняюсь, если что-то не так.

ftpdll.dll в карантин не дался...
Сервис - Поиск файлов на диске
Поищите и закарантиньте вручную. Потом пришлите

Файл находит, помещаю в карантин, но размер по-прежнему равен 0 байт. Может стоит его удалить?
Или в безопасном режиме попробовать поместить его в карантин?

попробуйте его просто заархивировать с паролем virus и прислать ....

Архивации поддался только в безопасном режиме. А так писал, что отказано в доступе. Файл отослал.


Сорри - пароль на архив virus, только в русской раскладке... (мшкгы)

пароль какой ?

Присланный вами файл ftpdll.dll - [b]Trojan-Downloader.Win32.Small.hwc[/b]
Выполните в АВЗ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\Documents and Settings\Дима2\ftpdll.dll');
DeleteFile('C:\WINDOWS\system32\ftpdll.dll');
BC_ImportAll;
BC_DeleteFile('C:\Documents and Settings\Дима2\ftpdll.dll');
BC_DeleteFile('C:\WINDOWS\system32\ftpdll.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]

[QUOTE]Выполните в АВЗ

Код:
begin SearchRootkit(true, true); SetAVZGuardStatus(true); DeleteFile('C:\Documents and Settings\Дима2\ftpdll.dll',''); DeleteFile('C:\WINDOWS\system32\ftpdll.dll',''); BC_ImportAll; BC_DeleteFile('C:\Documents and Settings\Дима2\ftpdll.dll');BC_DeleteFile('C:\WINDOWS\system32\ftpdll.dll');BC_Activate; ExecuteSysClean; RebootWindows(true);end.
[/QUOTE]
Пишет, что ошибка в позиции 4:12

Поправил выполняйте:)

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\Documents and Settings\Дима2\ftpdll.dll');
DeleteFile('C:\WINDOWS\system32\ftpdll.dll');
BC_ImportAll;
BC_DeleteFile('C:\Documents and Settings\Дима2\ftpdll.dll');
BC_DeleteFile('C:\WINDOWS\system32\ftpdll.dll');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\дима2\\local settings\\application data\\cftmon.exe - [B]Worm.Win32.Socks.hs[/B] (DrWEB: BackDoor.FireOn)[*] c:\\windows\\system32\\bim\\svchost.exe - [B]Trojan-Downloader.Win32.Agent.jeq[/B] (DrWEB: Trojan.DownLoader.49495)[*] c:\\windows\\system32\\drivers\\spools.exe - [B]Worm.Win32.Socks.hs[/B] (DrWEB: BackDoor.FireOn)[*] c:\\windows\\system32\\sysfldr.dll - [B]Trojan-Downloader.Win32.Small.ilt[/B] (DrWEB: Trojan.DownLoader.38518)[/LIST][/LIST]