Невидимый Trojan-PSW.Win32.LdPinch.pas

Здравствуйте, господа
Вот такая беда случилась.

Outpost поймал попытку schost.exe зайти по SMTP протоколу на SMTP-сервер майл.ру. Судя по журналу он ломится туда каждые полчаса.

Проверил комп полностью с последними базами dr.web и AVP. Они ничего не нашли, но всплыло вот что. Где-то через минуту после загрузки винды, если была включена постоянная защита AVP, то она ругалась на Trojan-PSW.Win32.LdPinch.pas в файле c:\pass.bin. А потом пыталась его удалить и бодро рапортовала, что этот файл не найден.
Я и сам проверил через "Мой Компьютер" - действительно примерно через минуту после загрузки Винды там появляется файл pass.bin, размером в несколько Кб, который через 1-2 секунды исчезает.

Вот такой вот трабл. Видимо это какая-то неизвестная антивирям модификация Trojan-PSW.Win32.LdPinch.pas?

авз- файл- выполнить скрипт .
вставить следующие строки и нажать на выполнить .
полученный архив прислать нам по правилам .
[code]
begin
SearchRootkit(true, true);
QuarantineFile('\SystemRoot\System32\Drivers\dump_WMILIB.SYS','');
QuarantineFile('\SystemRoot\System32\Drivers\dump_atapi.sys','');
QuarantineFile('prosync1.sys','');
QuarantineFile('prohlp02.sys','');
QuarantineFile('c:\windows\svchost.exe','');
end.
[/code]
скачать последнею версию hijack this и сделать новый лог .

1. Выполните скрипт:
[QUOTE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WgaLogon.dll','');
QuarantineFile('c:\windows\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\WPDShServiceObj.dll','');
DeleteFile('c:\windows\svchost.exe');
DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/QUOTE]

2. Отправьте карантин нам.
3. Срочно замените все ПАРОЛИ: (после выполнения пункта 1) на почту , аську и .т.д. веб мони спасайте.

2Alex_Goodwin

Выполнил скрипт, комп перезагрузился.
Карантин выслал.


2drongo

Я тут затупил.
Ваш скрипт выполнил, но сразу же за ним выполнил скрипт 2Alex_Goodwin.
Как теперь лучше сделать?

Да, и еще. Троянец ломился на SMTP порт по TCP протоколу.

Ничего страшного.

Пароли поменяли?
Сделайте новые логи.

Так есть вероятность, что пароли НЕ уплыли?

Вот снова просканировал.

[QUOTE=Александер;88770]Так есть вероятность, что пароли НЕ уплыли?[/QUOTE]
Лучше поменять. Бережёного... сами знаете.

И ещё пофиксите:
[code]O2 - BHO: IE Adapter Class - {35A6E2B1-27A9-47D2-913C-559E1EF1D034} - C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll (file missing)[/code]

Новую версию hijack this не скачали , а зря :)

пофиксить :
[code]O2 - BHO: IE Adapter Class - {35A6E2B1-27A9-47D2-913C-559E1EF1D034} - C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll (file missing)[/code]

В смысле новую версию? Я ведь скачал сегодня одну. Надо было ее еще раз скачать?

И как пофиксить это? Удалить? В этой папке dll уже нет, есть там там только два exe-шника:
tmasrv.exe
Uninstaller.exe

И такой вопрос. Вы смотрели карантин, что я вам прислал? Что там?

[url=http://virusinfo.info/showthread.php?t=4491]Что такое "пофиксить"[/url]
А папку убейте вместе с содержимым.

P.S. Актуальная версия HijackThis - 1.99.1 против вашей 1.98.2

Вот прямая ссылка на последнею версию :
[url]http://www.tomcoyote.org/hjt/hjt199//hijackthis.zip[/url]
она в архиве , надо распаковать и запустить .

Спасибо, понял. Сделал.

[QUOTE=drongo;88802]Вот прямая ссылка на последнею версию :
[url]http://www.tomcoyote.org/hjt/hjt199//hijackthis.zip[/url]
она в архиве , надо распаковать и запустить .[/QUOTE]

Вот, во вложении лог.

Вроде чисто.