Trojan.Downloader.62110 и как с ним бороться.

Заранее извиняюсь за свою тупость, ибо дольше пользуюсь линуксом чем виндой.

Проблема такова: Винда стала глючить и тупить. Полез ее сканить и вылез "Альман". Штук 2000 копий. Снес их каспером... но оно снова лезит. Все библиотеки, которые Каспер посчитал опасными но удалить не смог, я снес руками в лине (возможно это было глупо с моей стороны). Снес каспер...
В DrWeb аналогично: Trojan.Downloader.62110 и root[1].gif вылезают при каждом ребуте компа в винду.

Вопросы таковы:
1) А он в принципе лечиться?
2) Если лечиться, то можно ли избавится от этого из под лина?
3) Если из-под лина нельзя, то в чем особенность этой твари и где она обычно сидит?

Описание Альмана: [url]http://info.drweb.com/virus_description/154207[/url]
Рекомендация по лечению:
[QUOTE]1. Отключить инфицированный компьютер от локальной сети и\или Интернета и отключить службу Восстановления системы.
2. С заведома неинфицированного компьютера скачать бесплатную лечащую утилиту Dr.Web CureIt! и записать её на внешний носитель.
3. Инфицированный компьютер перезагрузить в Безопасный режим (F8 при старте Windows) и просканировать инфицированные компьютеры Dr.Web CureIt!. Для найденных объектов применить действие "Лечить".[/QUOTE]

1 В принципе лечиться, если новая модификация, тогда нужны экземпляры для исследования.
2 Если файлы лечатся, тогда можно.
3 см ссылку и ответ по первому пункту.

ps.
1. Отключить инфицированный компьютер от локальной сети и\или Интернета и отключить службу Восстановления системы. -- это обязательное условие, иначе будет перезаражение

Спасибо за оперативность.

В безопасном режиме проверил с CureIt!. Тот нашел тока root[1].gif где тот обычно и появлялся.
Полез руками... Через линух нашел и потер еще один linkinfo.dll и папку AppPatch. Ребутнулся в винду (без LAN кабеля в разъеме и востановления системы) Минут десять поработал пока DrWeb сканил диск C

В итоге: DrWeb ничего не нашел, SpiderGuard молчал. Однако папка AppPatch опять появилась и удаляться не хочет. Подозреваю что вирус по английски уходить отказываеться =)

Можете еще что-нить еще посоветовать?

[QUOTE=Holst Vangoga;239110]Заранее извиняюсь за свою тупость, ибо дольше пользуюсь линуксом чем виндой.[/QUOTE]Ну и хорошо-Тогда Вы знаете, что такое [B]ntfs-3g[/B]. Просканируйте Виндосовский раздел с Линукса и удалите все зловредное :)

2Rene-gad: Да, знаю. Но мне от этого пока не легче.

Я наверно неправильно сформулировал вопрос.

Все что описано в статье по ссылке [url]http://info.drweb.com/virus_description/154207[/url]
я нашел и потер под Линухом.

Но если подключаю LAN попрежному вылазит:
"..\Temporal internet Files\..\ root[1].gif - инфицирован Trojan.DownLoader.62110"
и с ".. \system32\..\ wmsetup.dll" (или типа того) аналогичная ситуация.

?_1) Вирус у меня на винче или "Сантаклаус" сажает мне его через LAN?
?_2) Если вирус на винче, то через что его отловить? Или хотябы найти путь до его бинарников на винче. Ибо перепробывал 4 антивируса, а току 0.
?_3) Если через LAN, то чем порты пофиксить?

Сорри, но наша гадалка взяла отпуск и уехала в Австрию на ЧЕ ;). Хотите по-серьезному говорить - сделайте логи по правилам. Можете еще перед выполнением логов почистить темп-папки и кэши браузеров.

Ну вот собственно и они. Заранее спасибо.

Пофиксите
[CODE]O2 - BHO: (no name) - {13FD5987-65D2-C58D-D87E-987451F12531} - (no file)
O2 - BHO: (no name) - {22596546-2036-9451-6058-658402589722} - (no file)
O2 - BHO: (no name) - {27AC9076-C898-B098-D098-A18319080972} - (no file)
O2 - BHO: (no name) - {32023698-6984-8541-9654-698745012523} - (no file)
O2 - BHO: (no name) - {33512378-9874-5641-1025-985420368733} - (no file)
O2 - BHO: (no name) - {35671234-7890-ABCD-CDEF-567801237653} - (no file)
O2 - BHO: (no name) - {4A069845-2036-6084-9054-6087502480A4} - (no file)
O2 - BHO: (no name) - {4A698102-5904-AFD0-20DF-CD1A65829CA4} - (no file)
O2 - BHO: (no name) - {4FD45A54-9875-698F-E56E-65102358FDF4} - (no file)
O2 - BHO: (no name) - {50940F85-F015-14F1-A05F-F69858AC6D05} - (no file)
O2 - BHO: (no name) - {6319A1F1-9410-9654-3201-345FFA349136} - (no file)
O2 - BHO: mnmhgsrv.dll - {7C8D1401-A58D-A81C-CD24-A5915C4517C7} - C:\WINDOWS\system32\mnmhgsrv.dll (file missing)
O2 - BHO: (no name) - {81954FAC-1023-154F-895A-1458258AD818} - (no file)
O2 - BHO: (no name) - {83BA45AF-FAAA-CDDD-BEEE-BCDE1234AB38} - (no file)
O2 - BHO: (no name) - {91698482-6555-3666-1222-954784129019} - (no file)
O2 - BHO: (no name) - {9490415F-65F8-B5C5-D8BA-9405FB120549} - (no file)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - shell32.dll (file missing)[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyDel('{17DFD111-BF3A-4CB4-ADB0-88FCBFE69821} ',' ');
RegKeyDel('{CAED0F3B-DF8B-4DBF-BB20-8DFBC3199068} ',' ');
DelBHO('{13FD5987-65D2-C58D-D87E-987451F12531}');
DelBHO('{22596546-2036-9451-6058-658402589722}');
DelBHO('{27AC9076-C898-B098-D098-A18319080972}');
DelBHO('{32023698-6984-8541-9654-698745012523}');
DelBHO('{33512378-9874-5641-1025-985420368733}');
DelBHO('{35671234-7890-ABCD-CDEF-567801237653}');
DelBHO('{4A069845-2036-6084-9054-6087502480A4}');
DelBHO('{4A698102-5904-AFD0-20DF-CD1A65829CA4}');
DelBHO('{4FD45A54-9875-698F-E56E-65102358FDF4}');
DelBHO('{50940F85-F015-14F1-A05F-F69858AC6D05}');
DelBHO('{6319A1F1-9410-9654-3201-345FFA349136}');
DelBHO('{7C8D1401-A58D-A81C-CD24-A5915C4517C7}');
DelBHO('{81954FAC-1023-154F-895A-1458258AD818}');
DelBHO('{83BA45AF-FAAA-CDDD-BEEE-BCDE1234AB38}');
DelBHO('{91698482-6555-3666-1222-954784129019}');
DelBHO('{9490415F-65F8-B5C5-D8BA-9405FB120549}');
QuarantineFile('C:\SC\WINMBR.EXE','');
QuarantineFile('C:\WINDOWS\system32\jhrcar.dll','');
QuarantineFile('C:\WINDOWS\system32\hhrdxd.dll','');
QuarantineFile('C:\WINDOWS\system32\mnmhgsrv.dll','');
DeleteFile('C:\WINDOWS\system32\mnmhgsrv.dll');
DeleteFile('C:\WINDOWS\system32\hhrdxd.dll');
DeleteFile('C:\WINDOWS\system32\jhrcar.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки закачайте карантин по правилам и повторите логи.

Логи я сделал, а вот карантин пуст =(

Пофиксите
[CODE]O21 - SSODL: JavaView - {DA191DE0-AA86-D04E-4B87-2A3D4928BE99} - C:\WINDOWS\AppPatch\Jview.dll (file missing)[/CODE]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('cdralw');
QuarantineFile('C:\WINDOWS\AppPatch\Jview.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\nvmini.sys','');
DeleteFile('C:\WINDOWS\system32\DRIVERS\nvmini.sys');
DeleteFile('C:\WINDOWS\AppPatch\Jview.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

Карантин по прежнему пустует.

Сейчас в логах чисто. Какие проблемы наблюдаете?

На первый взгляд все в порядке. Большое спасибо за помощь.

Систему обновить в ближайшее время необходимо
[QUOTE]Platform: Windows XP[B] SP2[/B] (WinNT 5.01.2600)
MSIE: Internet Explorer [B]v6.00 SP2[/B] (6.00.2900.2180)[/QUOTE]
Если проблем не наблюдается, то чам было бы интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.
Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Спасибо за литературу.

Меня вот тока смущает Spoolsv.exe (Spool Subsiyem App) в процессах.
И наличие Apphelp.dll в winlogon.exe

[QUOTE=Holst Vangoga;239996]
Меня вот тока смущает Spoolsv.exe (Spool Subsiyem App) в процессах.
И наличие Apphelp.dll в winlogon.exe[/QUOTE]
[URL="http://www.internetsecurityzone.com/Entities/?_Application+Compatibility+Client+Library"]apphelp.dll
[/URL]
[URL="http://www.computerhope.com/issues/ch000914.htm"]Spoolsv.exe[/URL]