Mass Mailer - рассылка спама

Доброго времени суток! :xmas:
Касперский предупреждает о "Потенциально опасном ПО
Mass-mailer software" из c:\windows\system32\services.exe.
Осуществляется рассылка писем - рекламного спама.

Расчитываю на Вашу помощь!
С наилучшими.

- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрвол.[/B]
- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: TMAgent IE Adapter - {35A6E2B1-27A9-47D2-913C-559E1EF1D034} - C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll (file missing)
O2 - BHO: WinInet Class - {39fc2065-c9c7-49cd-8942-44cc2dedc844} - (no file)[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
QuarantineFile('C:\WINDOWS\system32\00THotkey.exe','');
QuarantineFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\meukyu.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\meukyu.sys');
DeleteFile('C:\Documents and Settings\User\Главное меню\Программы\Автозагрузка\siszyd32.exe');
AddToLog('Удаление скрытого сервиса '+'meukyu'+' - Результат:'+inttostr(BC_ServiceKill('meukyu')) );
BC_ImportAll;
ExecuteSysClean;
SaveLog(GetAVZDirectory+'avz_log.txt');
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
[I]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log[/I]
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи, а также файл avz_log.txt из папки AVZ к новому сообщению в этой ветке.

Все процедуры выполнены. Логи прикреплены. Карантин не загрузил потому что он пустой - загружать нечего :blink:

ЗЫ Правда, в диспетчере устройств появилось какое-то неизвестное устройство, но фиг с ним вобщем :)

[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог с помощью GMER.[/URL]
[I]gmer.log[/I]

При попытке сохранить этот самый лог ХРюша свалилась в жёсткий висяк с последующим крашем, хрюкнув напоследок: "Taskmgr.exe - сбой инициализации DLL". :dry:

Рассылка спама вроде бы прекратилась и Касперский пока не ругается. Спасибо за помощь. Понаблюдаю ещё. Если вдруг что - сообщу :smile:

С наилучшими.

Всё-таки лог попробуйте сделать и выложить. Мы ведь так ничего и не отловили ещё, инфекция активна.

Да, действительно, рассылка спама продолжается.
Лог GMER-а сделал. Кстати, прога предупредила об изменениях в системе вызванных деятельностью руткитов.

Загрузитесь с LiveCD и удалите C:\WINDOWS\system32\Drivers\meukyu.sys

А ещё лучше - переместите его в архив с паролем virus и пришлите к нам в Карантин.

[QUOTE=gjf;543185]А ещё лучше - переместите его в архив с паролем virus и пришлите к нам в Карантин.[/QUOTE]
А можно, для чайника в танке, :xmas: по пунктам объяснить как осуществить эту операцию (как переместить в архив с паролем).

ЗЫ кстати, на данный момент, "больному" стало хуже - система загружается через раз, через синий/черный экран, через ж..у короче :dry:
Пока качаю Drweb_LiveCd. Но сначала попробую выслать этот файл Вам Карантином, когда пойму как :xmas:

1. Загрузитесь с LiveCD.
2. Найдите C:\WINDOWS\system32\Drivers\meukyu.sys.
3. Переместите этот файл в любую другую папку, сожмите там в zip-архив с паролем virus.
4. Загрузитесь в обычном режиме.
5. Пришлите созданный архив в Карантин по красной ссылке вверху этой страницы.

Спасибо! Пойду разбираться...

[QUOTE=gjf;543305]3. Переместите этот файл в любую другую папку, сожмите там в zip-архив с паролем virus.
[/QUOTE]

Загрузился с DrWeb Live CD, с помощью Commander'a нашёл этот файл и скопировал в другую папку. Но как заархивировать этот файл, находясь в этом коммандере, не понимаю.
Объясните пожалуйста!

Загрузитесь в обычной системе - думаю, в ней у Вас архиваторов предостаточно для этих целей. Только не забудьте сразу отключить антивирус, а то он убьёт файл до того, как Вы его заархивируете. Включите его после создания архива с паролем.

Данный файл, в обычном режиме работы ОС, архивировать невозможно - вылетает следующее окошко (WinRar):
"Диагностические сообщения
Невозможно открыть "такой-то файл"
Присоединенное к системе устройство не работает" :dry:

Вы антивирус отключили, как Вам было сказано?

[QUOTE=gjf;544150]Вы антивирус отключили, как Вам было сказано?[/QUOTE]

Да, пробовал архивировать при отключенном антивирусе (Касперский).

Выложите файл, как есть, на любом ресурсе в сети и скиньте ссылку мне в личном сообщении.

И это тоже не получается - вылетает сообщение "файл не найден".
Вот ещё что, если вызвать окно свойств этого файла, в этом окне отсутствуют вкладки "версия" и "сводка".
Кроме этого, в корне лог. диска "D" (папка Windows на "С") появились файлы размером 500 МБ каждый, с названиями .fuse_hidden0000000200000001, .fuse_hidden0000000200000002, и т.д. Семь штук уже :)

Хорошо, беру таймаут на совещание.

[size="1"][color="#666686"][B][I]Добавлено через 36 минут[/I][/B][/color][/size]

1. Загрузитесь ещё раз с LiveCD.
2. Найдите C:\WINDOWS\system32\Drivers\meukyu.sys
3. [U]Переместите[/U] (не скопируйте!) файл в другую папку.
4. Переименуйте файл в drv.111
5. Загрузитесь как обычно, отключите антивирус и заархивируйте файл drv.111 в zip-архив с паролем virus.
6. Пришлите архив в карантин.
7. Файл drv.111 и архив удалите.

Так получилось?