Подозрение на Trojan-Spy.Win32.Iespy.hc

Printable View

10.03.2008, 15:05
Andryxa

Подозрение на Trojan-Spy.Win32.Iespy.hc

Здравствуйте, уважаемые!

Пригласили в гости на 8-ое марта к девушке. А та просит помочь - около пару недель получается пи включении компьютера одна и та же ситуация: антивирус обнаруживает подозрительный файл, который предлагает исправить (удалить). После этого комьютер перезагружается. При включении - картина повторяется. Собрал с помощью утилит необходимую для анализа подборку.
Помогите избавиться от троянов, пожалуйста.
10.03.2008, 16:00
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mswapi.dll','');
QuarantineFile('C:\WINDOWS\system32\winservn.exe','');
QuarantineFile('C:\WINDOWS\svchost.exe','');
DeleteFile('C:\WINDOWS\svchost.exe');
DeleteFile('C:\WINDOWS\system32\winservn.exe');
DeleteFile('C:\WINDOWS\system32\mswapi.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
13.03.2008, 10:27
Andryxa

Здравствуйте, уважаемые!
После выполнения скрипта, собрал логи. А вот с карантином - прошу обратить ваше внимание, насколько я понимаю - файлов должно было попасться три штуки, а у меня получилось только два. Куда-то третий делся!?
13.03.2008, 10:30
V_Bond

пофиксите ...
[code]
O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - C:\WINDOWS\system32\mswapi.dll (file missing)
O20 - Winlogon Notify: reset6 - AUHook.dll (file missing)
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{e3a729da-eabc-df50-1842-dfd682644311}');
DeleteFile('C:\WINDOWS\system32\mswapi.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи начиная с пункта 10 правил ...
04.04.2008, 11:58
Andryxa

Здравствуйте, уважаемые

Извините за задержку - не мог пересечься с компьютером. Провел обработку согласно высланных инструкций. Направляю лог-файлы.

После завершения всех действий и перезагрузки отметил особенность в "Диспетчере задач" (TaskManager) - в просмотре вида "Процессы" отсутствует в графе "имя пользователя" информация для всех процессов, кроме как для процесса "Бездействие системы". Для последнего указано - System. Не подскажите, это могут быть последствиями вирусов?
04.04.2008, 16:38
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Jty48');
BC_DeleteSvc('Isv83');
QuarantineFile('C:\WINDOWS\System32\Drivers\Jty48.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Isv83.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Isv83.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Jty48.sys');
DeleteFile('WLCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
пользователи не отображаются в "Диспетчере задач" т.к. у вас остановлена служба терминалов ....