компьютер рассылает спам :/

Printable View

22.01.2009, 14:28
nazgul

компьютер рассылает спам :/

один из компьютеров в сети занялся рассылкой спама... :/ просканировав компьютер DrWeb-ом и потом отдельно еще и Cure-It-ом были найдены следующие паразиты:

Trojan.DownLoad.6035
Trojan.DownLoad.26718

больше ни DrWeb, ни NOD32 ничего не находят. :(

но это проблемму не решило... в директории C:\Temp лежат куча .tmp файлов в которых xml-ки с адресами и текстами сообщений. эти самые xml постоянно обновляются. так же в этой папке есть файлик SYS2.tmp.exe

больше ничего подозрительного в системе не видно...
22.01.2009, 14:35
Гриша

Установите AVZPM и повторите логи AVZ...
22.01.2009, 19:45
nazgul

вот-с... установил и проверил...
22.01.2009, 20:23
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mcenspc.dll','');
QuarantineFile('C:\WINDOWS\system32\digeste.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\nssurrnu.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\aeeuefoaqfi.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\aeeuefoaqfi.sys');
DeleteFile('C:\WINDOWS\system32\drivers\nssurrnu.sys');
DeleteFile('C:\WINDOWS\system32\digeste.dll');
DeleteFile('C:\WINDOWS\system32\mcenspc.dll');
DeleteService('nssurrnu');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=38005"]http://virusinfo.info/upload_virus.php?tid=38005[/URL]
Повторите логи по правилам.
22.01.2009, 21:23
nazgul

карантин выслал... вот логи....
спасибо! =)
22.01.2009, 21:36
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('mcenspc.dll','');
QuarantineFile('digeste.dll','');
DeleteService('bykabp');
QuarantineFile('C:\WINDOWS\system32\drivers\aeeuefoaqfi.sys','');
DeleteService('SharedAccessDhcp');
QuarantineFile('C:\WINDOWS\system32\wpv9960.cpx srv','');
DeleteFile('C:\WINDOWS\system32\wpv9960.cpx srv');
DeleteFile('C:\WINDOWS\system32\drivers\aeeuefoaqfi.sys');
DeleteFile('digeste.dll');
DeleteFile('mcenspc.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
22.01.2009, 22:34
nazgul

готово...
22.01.2009, 22:42
V_Bond

что с проблемами ?
22.01.2009, 22:45
nazgul

спам перестал идти сразу же после первого скрипта. =) но у вируса бывали дни затишья когда он ничего не отсылал... так что будем смотреть что будет происходить в ближайшие пару дней.

спасибо за помощь!
22.02.2009, 10:11
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\drweb\\infected.!!!\\~.exe - [B]Trojan.Win32.Agent.baux[/B][*] c:\\windows\\system32\\digeste.dll - [B]Trojan.Win32.Agent2.aat[/B][*] c:\\windows\\system32\\drivers\\aeeuefoaqfi.sys - [B]Rootkit.Win32.Pakes.hr[/B][*] c:\\windows\\system32\\mcenspc.dll - [B]Trojan.Win32.Agent2.aau[/B][/LIST][/LIST]