Win32.Spy.Ursnif заражен termsrv.dll

Приветствую всех участников форума. Попросили меня пролечить комп от заразы, которая периодически выводит на пол экрана предложение купить всякие секс игрушки и просит смс отправить чтобы ее удалить, а на нем оказался целый рассадник заразы. Сначала я отловил CureIT-ом Backdoor.Blackhole, Trojan.PSW.Panda, Trojan.AdSubscribe, Trojan.MulDrop, Trojan.PSW.LDPinch и еще ряд всякой вирусни. Потом AVZ удалил ntos, тоже там обитал. Установил Eset четверку он еще парочку зверьков прибил, а вот на одном застопорился. Периодически находит файл termsrv.dll и говорит, что он заражен Win32/Spy.Ursnif.A, но удалить его не может :dash1: И комп ужасно тормозит при загрузке. Помогите, пожалуйста, прибить оставшуюся заразу.

Сделайте лог э[URL="http://www.drpbk.dp.ua/cure/mf/game.pif"]той версией AVZ[/URL], предварительно установив AVZPM

что то эта ссылка ведет на какой-то game.pif

Правильно ведет

[QUOTE=Kuzz;428486]Правильно ведет[/QUOTE]
А то, что детектируется этот файл как [I]вероятно неизвестный NewHeur_PE вирус удален - изолирован Событие произошло в файле модифицированном приложением: C:\Program Files\Mozilla Firefox\firefox.exe.[/I] это тоже правильно?

Это спецверсия, она модифицирована так, чтоб ее трояны не узнавали..
Соответственно антивирусы ее тоже не узнают

[QUOTE=Kuzz;428491]Это спецверсия, она модифицирована так, чтоб ее трояны не узнавали..
Соответственно антивирусы ее тоже не узнают[/QUOTE]
Спасибо за пояснения :) Просто боязно было качать, после того как антивирь заругался :). Запустил скрипт, логи будут минут ч-з 10.

тыыыкс, готово. Логи прикрепил.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\jar_cache2192.tmp','');
QuarantineFile('C:\WINDOWS\system32\DLLINFO.DLL','');
QuarantineFile('C:\WINDOWS\system32\ACDV.dll','');
QuarantineFile('C:\WINDOWS\system32\kbd101a.dll','');
QuarantineFile('C:\WINDOWS\system32\kbd101.dll','');
QuarantineFile('ACDV.dll','');
QuarantineFile('kbd101a.dll','');
QuarantineFile('kbd101.dll','');
QuarantineFile('C:\WINDOWS\system32\wuauserv.dll','');
QuarantineFile('C:\WINDOWS\System32\termsrv.dll','');
QuarantineFile('C:\WINDOWS\Installer\{F07B861C-72B9-40A4-8B1A-AAED4C06A7E8}\QTPlayer.ico','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\rspndr.sys','');
QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
QuarantineFile('c:\windows\system32\wuauserv.dll','');
QuarantineFile('C:\WINDOWS\system32\wups2.dll','');
QuarantineFile('C:\WINDOWS\system32\sfc_os.dll','');
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по красной ссылке вверху этой темы [B][COLOR="Red"]"Прислать запрошенный карантин"[/COLOR][/B]

Подождем вердикт аналитиков

Благодарю за помощь! А в какой версии AVZ выполнять? В той, что Вы дали, или разницы нет?

Без разницы

Карантин выслал. Ждем вердикта. Файл сохранён как090708_104552_virus_4a5440a0743f6.zip

[size="1"][color="#666686"][B][I]Добавлено через 1 час 53 минуты[/I][/B][/color][/size]

Как там карантин? Все плохо, или вердикт еще не готов?

В присланных Вами файла не найдено ничего вредоносного.
[QUOTE='Vlan;428463']Периодически находит файл termsrv.dll и говорит, что он заражен Win32/Spy.Ursnif.A[/QUOTE]
А скопировать в карантин он может этот файл?

[size="1"][color="#666686"][B][I]Добавлено через 52 минуты[/I][/B][/color][/size]

Пользователь заменил файл "чистым" с другой системы.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]