Printable View
Пару дней назад началось. Постоянно модем мигает лампой "Data", по логам провайдера - сильно увеличился трафик (при том, что в эти дни я как раз интернетом пользовался гораздо меньше, чем обычно).
В Outpost'e - периодически видно какое-то ненормальное количество открытых портов (500 с лишним). Открывает их iexplore.exe (при этом ни одного окна Эксплорера не открыто).
Устанавливал разные антивирусы и удалялки троянов (Avast, DrWeb, AdAware). Ничего не нашли.
Найдите и пришлите следующие файлы так как сказано в Приложении 2 Правил:
C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll
C:\Documents and Settings\Alex\Local Settings\Temp\bl4ck.com
C:\Documents and Settings\Alex\Local Settings\Temporary Internet Files\Content.IE5\HV3TZHB4\main[1].exe
C:\ntdetect.exe
PS ссылка на вашу тему:
[url]http://virusinfo.info/showthread.php?t=6030[/url]
Файлы переслал
(кроме "C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll" - не найден)
Все файлы, которые Вы прислали, детектируют Kaspersky, McAfee, NOD32, VBA32. Согласно КАВ это Trojan-Dropper.Win32.Agent.apb
-----------------------------
теперь и DrWeb детектирует - BackDoor.Uragan
[QUOTE=MexaHuk]Файлы переслал
(кроме "C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll" - не найден)[/QUOTE]
А как искался файл 'C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll' ? Дело в том, что он точно есть, AVZ то его видит и показывает размер 15 кб ... Стоит попробовать:
1. закрыть все программы кроме AVZ и активировать AVZGuard
2. открыть менеджер автозапуска AVZ, там найти запись для файла 1_32bean32_1.dll и снять с нее "птичку"
3. Перезагрузиться не выходя из AVZ и не отключая AVZGuard
4. После перезагрузки дать поиск по диску - обзазец поиска [I]1_32bean32_1.dll[/I]
Присланный Trojan-Dropper.Win32.Agent.apb содержит
Trojan-Proxy.Win32.Xorpix.ah (Kaspersky)
у вас в компьютере он видимо сидит тут:
C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll
Если не получится сделать то что написал Олег
1. Запуститите AVZ, включите AVZGuard.
2. Удалите последовательно через меню Файл->«Отложенное удаление» все файлы которые я просил прислать.
3. Перезагрузите компьютер не закрывая AVZ.
Странно, но AVZ при попытке назначить отложенное удаление файла 1_32bean32_1.dll не видит его в упор.
Более того - у меня на компьютере вообще нет папки C:\Documents and Settings\All Users\Documents\Settings, в которой он вроде бы должен быть (скриншот AVZ прилагается).
Другие два файла удалил, проблема осталась.
Троян попал на "трепанацию" -
[url]http://z-oleg.com/secur/virlist/vir1152.php[/url] - Trojan-Dropper.Win32.Agent.apb
[url]http://z-oleg.com/secur/virlist/vir1153.php[/url] - Trojan-Proxy.Win32.Xorpix.ah
Файл 1_32bean32_1.dll скопировать обычными средствами невозможно за счет того, что для защиты он открывает свой файл с монопольным доступом.
[QUOTE=MexaHuk]Странно, но AVZ при попытке назначить отложенное удаление файла 1_32bean32_1.dll не видит его в упор.
Более того - у меня на компьютере вообще нет папки C:\Documents and Settings\All Users\Documents\Settings, в которой он вроде бы должен быть (скриншот AVZ прилагается).
Другие два файла удалил, проблема осталась.[/QUOTE]
Начнем по шагам - AVZ в диспетчере автозапуска видит этот файл или нет ?
[quote=Зайцев Олег]Начнем по шагам - AVZ в диспетчере автозапуска видит этот файл или нет ?[/quote]
Нет, не видит.
Вот, скриншот того, что видит AVZ в автозагрузке.
[QUOTE=MexaHuk]Вот, скриншот того, что видит AVZ в автозагрузке.[/QUOTE]
А если щелкнуть на Winlogon в древовидном списке слева ?
[quote=MexaHuk]Вот, скриншот того, что видит AVZ в автозагрузке.[/quote]
Чтобы увидеть надо было щелкнуть на строчке WinLogon слева.
[quote=MexaHuk]у меня на компьютере вообще нет папки C:\Documents and Settings\All Users\Documents\Settings[/quote]
У папки C:\Documents and Settings\All Users\Documents стоит атрибут системный. Скопируйте строчку:
C:\Documents and Settings\All Users\Documents\Settings\1_32bean32_1.dll
вставьте ее в поле «имя файла» в диалоге выбора файла для «Отложенного удаления» и нажмите кнопку Открыть.
Удалил. Вроде бы помогло. Спасибо огромное!