Пропажа денег с ВебМани, возможно Trojan-PSW.Win32.Agent.nxu

Подцепил какой-то троян который угоняет деньги с ВебМани. На кипер приходит счет от обменника Робоксчэндж, счет автоматически оплачивается, после чего меняется файл ключей и собственно доступ к кошельку просто отсутствует.

По рекомендации [URL]http://virusinfo.info/pravila.html[/URL] Касперский 6 нашел и удалил
троянская программа Trojan-PSW.Win32.Agent.nxu Файл: C:\Program Files\WebMoney\inetmib1.dll
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\LOY3PGIG\load[1].exe
троянская программа Trojan.Win32.Pakes.npp Файл: C:\Users\root\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\LV4UHRZ8\load[2].exe
троянская программа Rootkit.Win32.UMFSHide.a Файл: C:\Users\root\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\RYQP09ZG\load[2].exe
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Roaming\nscagent.exe
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Roaming\nSvcAppFlt.exe
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Roaming\sysrc32.exe
троянская программа Trojan.Win32.Scar.ifk Файл: C:\Users\root\AppData\Roaming\syssl.exe

Посмотрите пожалуйста, все ли удалилось? Заранее спасибо.

[URL="http://virusinfo.info/showthread.php?t=4905"]Отключите восстановление системы[/URL]!!!
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, выполните скрипт в [U]AVZ[/U]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Ansys Inc\v100\CommonFiles\TCL\bin\intel\tcldde83.dll','');
QuarantineFile('C:\WINDOWS\system32\5378.exe','');
DeleteFile('C:\WINDOWS\system32\5378.exe');
QuarantineFile('c:\program files\bwmeter\bwmeterconsvc.exe','');
QuarantineFile('C:\WINDOWS\system32\tapi.nfo','');
DeleteFile('C:\WINDOWS\system32\tapi.nfo');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','systme');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Очистите временные папки интернета. Сделайте новые логи по правилам.

Уважаемый DefesT! Я пытался отключить восстановление системы (Виста) как указано в инструкции, все галочки убраны системы перезагружена, но при в логах AVZ все равно пишется что восстановление включено.
Можно ли как-нибудь отключить восстановление через реестр или командной строкой? Или подскажите как вообще быть в такой ситуации?
Прилагаю скрин, где показано что я "отключил" восстановление.

И раз дело так серьезно, то добавлю еще вот что, при загрузке вместо привычного рабочего стола появляется папка с какими-то файлами, а самого рабочего стола нет. Запускаю рабочий стол через "Выполнить - explorer". Может эта инфа будет полезна.

C восстановлением системы все правильно.
Делайте дальше, что [B]DefesT[/B] написал.

Сделано. Пароль на карантин virus.

Логи AVZ не годятся. Надо AVZ запускать от имени Администратора.
[quote]
ProxyServer = ftp=192.168.0.1:80;gopher=192.168.0.1:80;http=127.0.0.1:2080;https=192.168.0.1:80[/quote]Это вы настроили?

[QUOTE=AndreyKa;484321]Логи AVZ не годятся. Надо AVZ запускать от имени Администратора.[/QUOTE]

Просто создал нового пользователя с обычными правами по рекомендации с форума. Вроде AVZ запускал от имени Администратора, еще удивился, почему не запросил пароль...
Сейчас сделал логи под учетной записью Администратора.

[QUOTE=AndreyKa;484321]Это вы настроили?[/QUOTE]
Специально ничего не настраивал.

Словосочетание "Inter-PRO" знакомо?
[url=http://virusinfo.info/showthread.php?t=4491]Пофиксте[/url] в HijackThis строку:
[quote]
O4 - HKUS\S-1-5-21-1448803122-279155766-1150551697-1000\..\Run: [] (User 'root')
[/quote]

Судя по вашему первому сообщению трояны проникли через какой-то web-сайт.
Установите Service Pack 1 и 2 на Windows Vista и Internet Explorer 8.
Выполните в AVZ скрипт из файла [url=http://df.ru/~kad/ScanVuln.txt]ScanVuln.txt[/url] и приложите к этой теме файл c:\avz_log.txt

[QUOTE=AndreyKa;484430]Словосочетание "Inter-PRO" знакомо?[/QUOTE]

Да, знакомо. Эта прога мной используется.

[QUOTE=AndreyKa;484430]
Установите Service Pack 1 и 2 на Windows Vista и Internet Explorer 8.
Выполните в AVZ скрипт из файла [url=http://df.ru/~kad/ScanVuln.txt]ScanVuln.txt[/url] и приложите к этой теме файл c:\avz_log.txt[/QUOTE]

Сделано.
AVZ в протоколе говорит, что "Установлен Adobe Acrobat Reader версии 8.1.3.0. Необходимо обновить его до версии 8.1.6", я обновился до 8.1.6 однако предупреждение все равно выводится.

[QUOTE='webartel;484942']AVZ в протоколе говорит, что "Установлен Adobe Acrobat Reader версии 8.1.3.0. Необходимо обновить его до версии 8.1.6", я обновился до 8.1.6 однако предупреждение все равно выводится. [/QUOTE]Компьютер перезагружали?

[QUOTE=AndreyKa;484951]Компьютер перезагружали?[/QUOTE]

Да, перезагружал.
Вот скрин с указанием версии.

И еще, скажите пожалуйста, если я использую в основном Оперу ее тоже нужно обновить до последней версии?

Спасибо, действительно, скрипт не верно определяет эту версию Adobe Acrobat Reader.

Оперу обновить не помешает. Всё ПО, используемое при работе в Интернет, желательно поддерживать в актуальном состоянии.

Скажите, а процедура лечения закончена? Можно считать комп относительно безопасным?

Да.

ОГРОМНОЕ человеческое спасибо :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]