Trojan.PWS.Ibank.38 и прочая свежатинка

Добрый день!

Умудрился забыть поставить антивирус после сноса предвдущей версии, и в итоге получил сабж в виде 3-х экзешников в system32, которые вылечил, но еще один гад остался.

Не пускает на сайты антивирусов, включая этот, z-oleg.com, и так далее, практически все известные антивирусы.

Удалось установить avira free, он пищит при запуске системы, как будто ловит вирус, но ни в логах, ни в результате ничего не меняется - по прежнему блокируются сайты (в том числе обновление самой авиры), и глючит Internet Explorer - пропадает меню, не работают некоторые запросы POST.

AVZ при открытии списка внедренных DLL выдает много системных писков, и кроме перехваченных вызовов ничего подозрительного не показывает.

Прошу помощи. Дрянь видимо совсем новая. Поймал 29 апреля. А тот же Dr Web стал определять сабж только 2 мая. А вот кто еще сидит в системе - загадка. Грузился с Live CD, проверял диск последним DrWeb Cure It. Он нашел только остатки Trojan.PWS.Ibank.38 в Documents and Settings/LocalService/Local Settings/Temporary Internet Files.

Хорошо есть второй чистый комп, с которого можно качать и обновлять требуемый софт.

Файлы прилагаю.

PS. Посмотрел route print - полно левых маршрутов, попробую пока поудалять...

Удалил левые маршруты, обновил авиру... Теперь она не пищит при старте компа, IE тоже в норме...

Пароли только не забудьте сменить. Могли уйти на сторону.

Павел, спасибо!

Подскажите, вот это от Авиры? Чтобы на будущее знать...

[QUOTE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_CREATE] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_CLOSE] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_WRITE] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_SET_EA] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\ntfs[IRP_MJ_PNP] = 8AE241F8 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_CREATE] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_CLOSE] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_WRITE] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_QUERY_INFORMATION] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_SET_INFORMATION] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_QUERY_EA] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_SET_EA] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_SET_VOLUME_INFORMATION] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_DIRECTORY_CONTROL] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_FILE_SYSTEM_CONTROL] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_DEVICE_CONTROL] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_LOCK_CONTROL] = 8A087500 -> перехватчик не определен[/SIZE]
[SIZE=2]\FileSystem\FastFat[IRP_MJ_PNP] = 8A087500 -> перехватчик не определен[/SIZE]
[/QUOTE]

[QUOTE=Uncle_Bob;631645]
Подскажите, вот это от Авиры? [/QUOTE]Нет.

Это симптом?

[QUOTE=Uncle_Bob;631814]Это симптом?[/QUOTE]Нет. 8)

Все-таки компу становится хуже... Вдруг выкочила ошибка spoolsv.exe, avira вновь при старте системы пищит, как будто находит вирус, поочередно каждый процесс начинает грузить систему...

Подскажите пож, куда и как копать дальше.

PS. Может изменить статус темы?

[QUOTE=Uncle_Bob;631851]Подскажите пож, куда и как копать дальше.[/QUOTE]Сделайте свежие логи по правилам.

Вроде там все то же самое...

Приложил

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
[QUOTE][COLOR="Red"][B]Восстановление системы: включено[/B][/COLOR][/QUOTE]???
- Отключите Системное восстановление.


-[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('K:\autorun.inf','');
QuarantineFile('C:\DOCUME~1\VLADIM~1\LOCALS~1\Temp\esp762A.tmp','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\WgaSetup','EventMessageFile');
DeleteFile('C:\DOCUME~1\VLADIM~1\LOCALS~1\Temp\esp762A.tmp');
DeleteFile('K:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.[/code]

[COLOR="Red"]Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.[/COLOR]

После перезагрузки:
- [url="http://virusinfo.info/upload_virus.php?tid=77577"]Закачайте файл ..\avz\quarantine.zip[/url] для анализа.
- [url="http://virusinfo.info/showthread.php?t=7660"]Очистите[/url] файл [b]hosts[/b].
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

выполнил согласно инструкции... файла

'C:\DOCUME~1\VLADIM~1\LOCALS~1\Temp\esp762A.tmp'

не было, предварительно проверил с Live CD.

карантин 8МБ - не приложить... а, блин, протупил... закачал...

Результат загрузки
Файл сохранён как 100504_201207_quarantine_4be04757a160b.zip
Размер файла 8357442
MD5 2535750f164c36741632bb2b1a6fda5b

Файл закачан, спасибо!

Прилагаю файлы.

Постарался максимально следовать инструкции. NHC не могу выключить - ноут вскипит.

Внешних симптомов вроде нету...

Ничего подозрительного не увидел.

Спасибо.

Пока все спокойно.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]