Прошу помощи. Не могу удалить файл advapi32.$$$ из system32

При проверке AVZ пишет про подозрение на троянскую DLL или кейлоггер в 2 файлах: ntsock.dll и cpadvai.dll

Началось все с запуска некоего файлика xe-xe.exe, который пришел по эл.почте. В результате запуска никакой видимой реакции не произошло, а файлик благополучно исчез. После этого стал подтормаживать инет, хотя при просмотре использования сети в диспетчере задач никакой активности вроде нет. В системном каталоге (System32) появился файл advapi32.$$$, который даже если удалить, при перезапуске вновь появляется. Еще было несколько файлов с Spy.Aureate, которые AVZ удалил при лечении.
Вот вкратце и все.

[url=http://virusinfo.info/showthread.php?t=7239]Выполнить скрипт в AVZ [/url]
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\System32\Drivers\dump_IdeChnDr.sys','');
QuarantineFile('C:\WINDOWS\system32\ntsocks.dll','');
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
QuarantineFile('\\server-zhb\netlogon\xauth.exe','');
QuarantineFile('c:\program files\winamp\winampa.exe','');
QuarantineFile('c:\windows\system32\ntsock.exe','');
QuarantineFile('C:\install\FAR v1.65\PlugIns\pktv04b.rar/{RAR}/pkt.dll','');
RebootWindows(true);
end.[/code]
Kомпьютер перегрузиться , после этого Полученный "карантинный" файл (будет в папке , где находиться сама программа AVZ ) прислать как написано в правилах .
Зайдите в AVZ - AVZPm и установите драйвер .Перегрузитесь . Желательно показать логи от авз , когда драйвер установлен .

wmplayer.exe - Поищите и пришлите , у меня в подписи написано как .

P.s. можете прислать копию advapi32.$$$ , хотя не думаю что он вредный .

P.P.S zhb.local - это что, известно ???
192.168.90.5,80.92.10.253,80.92.10.252- Ваш провайдер ?

[quote=drongo;90708][URL="http://virusinfo.info/showthread.php?t=7239"]Выполнить скрипт в AVZ [/URL]
Kомпьютер перегрузиться , после этого Полученный "карантинный" файл (будет в папке , где находиться сама программа AVZ ) прислать как написано в правилах .[/quote]
Файл выслал.
[quote=drongo;90708]

P.P.S zhb.local - это что, известно ???
192.168.90.5,80.92.10.253,80.92.10.252- Ваш провайдер ?[/quote]
192.168.90.5 сервер домена zhb.local
80.92.10.253,80.92.10.252 - сервера провайдера

[quote=drongo;90708]
P.s. можете прислать копию advapi32.$$$ , хотя не думаю что он вредный .[/quote]
Этот файл тоже отправил.
[quote=drongo;90708]
wmplayer.exe - Поищите и пришлите , у меня в подписи написано как .[/quote]
А вот этот не могу добавить в карантин. Поиск выдает 4 файла:
C:\Program Files\Windows Media Player\wmplayer.exe
C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}\wmplayer.exe
C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}$BACKUP$\System\wmplayer.exe
C:\WINDOWS\system32\dllcache\wmplayer.exe
Нажимаю кнопку копировать найденные файлы в карантин - никакого результата.
Добавление в карантин по списку тоже результатов не дает. Пишет:
Процесс добавления файлов запущен
Процесс добавления файлов завершен
И все.
При просмотре карантина файлов этих там нет.

пока так:
C:\WINDOWS\system32\ntsocks.dll - Trojan.PWS.Lineage (DrWeb)
вероятно есть ещё что то...

ps. точно есть... ждём...

А если так попробовать :
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Windows Media Player\wmplayer.exe','');
QuarantineFile('C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}\wmplayer.exe','');
QuarantineFile('C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}$BACKUP$\System\wmplayer.exe','');
QuarantineFile('C:\WINDOWS\system32\dllcache\wmplayer.exe','');
RebootWindows(true);
end.
[/code]

Есть просто подозрение , что это член [url=http://72.14.221.104/search?q=cache:W7KHTIO5U84J:www.viruslist.com/ru/viruses/encyclopedia%3Fvirusid%3D58988+wmplayer.exe&hl=ru&ct=clnk&cd=3&client=firefox-a]этого семейства [/url]

Пробовал и в защищенном режиме запускать AVZ и выполнить этот скрипт - результат тот же - нулевой. В карантине эти файлы не появляются.

Новые логи сделаю и вышлю завтра.

advapi32.$$$ - это происки Крипто-Про.

[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntsocks.dll','');
QuarantineFile('c:\windows\system32\ntsock.exe','');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
C:\WINDOWS\system32\ntsocks.dll - Trojan.PWS.Gamania
c:\windows\system32\ntsock.exe - Trojan.PWS.Lineage

Пофиксить :


[code]
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://as.starware.com/dp/search?x=wKX1ILEOi+Vh7AfA98Gm4Me69ZMbubcD98ptiQjWyuqy0JwyjFV9YwDj6RB+7kHucFIqTXdM8BusUsdtON3ALmvXfRbkkPu3QTKJBdmsH+lD5qOE5UT7oUbdkU1MkrdLt1MZxBsHr+SVYArkuk5ByFAdbViCQkqdDh3pEU/FONf2nLYb3AXNUA==
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = wmplayer.exe //ICWLaunch
O3 - Toolbar: WebAlta Toolbar - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - C:\Program Files\WebAlta\Toolbar\WebaltaToolbar.dll (file missing)
[/code]

для удаления ,нужно в авз выполнить вот этот скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\ntsock.exe');
DeleteFile('C:\WINDOWS\system32\ntsocks.dll');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]


P.S. надо у Олега спросить , почему не хочет копироваться :(

Вот новые логи, которые сделал после удаления ntsock'ов. Но wmplayer.exe все равно не могу скопировать в карантин. Хоть и пишет в протоколе, что:
Файл C:\Program Files\Windows Media Player\wmplayer.exe скопирован в карантин
Файл C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}\wmplayer.exe скопирован в карантин
Файл C:\WINDOWS\RegisteredPackages\{DD90D410-1823-43EB-9A16-A2331BF08799}$BACKUP$\System\wmplayer.exe скопирован в карантин
Файл C:\WINDOWS\system32\dllcache\wmplayer.exe скопирован в карантин
Тем не менее файлы эти в просмотре карантина не появляются.:?

[quote=pig;90754]advapi32.$$$ - это происки Крипто-Про.[/quote]
Так значит этот файл никакого отношения к заражению не имеет? Я правильно понял?
Просто навело на сомнение его дата - время и день последней загрузки (т.е. текущей).

Да, это штатный хакерский метод работы Крипто-Про. Что-то он там в advapi32.dll патчит по своему разумению.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ntsock.exe - [B]Trojan-GameThief.Win32.Ganhame.dm[/B] (DrWEB: Trojan.PWS.Lineage)[*] c:\\windows\\system32\\ntsocks.dll - [B]Trojan-GameThief.Win32.Ganhame.eb[/B] (DrWEB: Trojan.PWS.Gamania)[/LIST][/LIST]