Trojan-downloader.win32.small.eih

Касперский постоянно находит сабж, удаляет, все ок, но он появляется снова. Это тот же комп, на которым я боролся с errorsafe - вроде удалился наконец-то agnitum'om. Сейчас на наем Outpost Firewall, KAV for workstation. Пользуется немец, и он ужасно нервничает, когда касперский выдает хоть что-то похожее на вирус, меня он просто достал уже. Перестановка системы - не самый желательный вариант. Прикрепляю логи, посмотрите пожалуйста :)

logi

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\Haspnt.sys','');
QuarantineFile('C:\WINDOWS\ctojaf.exe','');
QuarantineFile('C:\WINDOWS\System32\msgina\wuauclt2.exe','');
QuarantineFile('C:\WINDOWS\System32\cbayw38.dll','');
QuarantineFile('C:\WINDOWS\System32\3t0n0dr2.exe','');
QuarantineFile('C:\WINDOWS\TEMP\clea1d7b1a9.dll','');
QuarantineFile('C:\WINDOWS\system32\ckpNotify.dll','');
QuarantineFile('c:\windows\temp\$_3472452.exe','');
RebootWindows(true);
end.[/CODE]
После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".

закачал. правда не все файлы добавились в карантин - писал ошибка прямого чтения, вручную тоже не получилось

Самое интересное в карантин не попало. Выполните такой скрипт:
[code]
begin
ClearQuarantine;
BC_QrFile('c:\windows\temp\$_3472452.exe');
BC_QrFile('C:\WINDOWS\TEMP\clea2b84a.dll');
BC_QrFile('C:\WINDOWS\System32\3t0n0dr2.exe');
BC_QrFile('C:\WINDOWS\System32\cbayw38.dll');
BC_QrFile('C:\WINDOWS\System32\msgina\wuauclt2.exe');
BC_QrFile('C:\WINDOWS\ctojaf.exe');
BC_LogFile(GetAVZDirectory + 'boot_clr.log') ;
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки пришлите содржимое карантина согласно приложению 3 правил и приложите к теме файл 'boot_clr.log' из папки с программой AVZ.

закачал. файла boot_clr.log нету почему-то. Есть только boot_dr.log

boot_dr.log

хм... странная какая штука... на компе обзывался boot_dr.log сюда закачался с тем именем, с каким просили ))

avz00001.dta - C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.dll
[QUOTE]Здравствуйте,
avz00001.dta - Trojan-PSW.Win32.Sinowal.co
Детектирование файла будет добавлено в следующее обновление.
avz00002.dta, avz00005.dta, avz00006.dta, avz00007.dta, avz00008.dta
Вредоносный код в файлах не обнаружен.
--
С уважением, Ярослав Кириллов
Вирусный аналитик Лаборатории Касперского.[/QUOTE]

Выполите скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.dll');
DeleteFile('c:\windows\temp\$_3472452.exe');
DeleteFile('C:\WINDOWS\TEMP\clea2b84a.dll');
DeleteFile('C:\WINDOWS\System32\3t0n0dr2.exe');
DeleteFile('C:\WINDOWS\System32\cbayw38.dll');
DeleteFile('C:\WINDOWS\System32\msgina\wuauclt2.exe');
DeleteFile('C:\WINDOWS\ctojaf.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr2.log') ;
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки сделайте новые логи п.10 и 12 правил и приложите файл 'boot_clr2.log' из папки с AVZ.

сделано =)

Хорошо. Выполните скрипт:
[code]

begin
AutoFixSPI;
end.
[/code]
Пофиксите в HijackThis:
[code]
O2 - BHO: AutoComplete - {3878A544-E465-4aad-AF9D-B2A680C2F7EC} - C:\WINDOWS\System32\cbayw38.dll (file missing)
[/code]
Полагаю, на этом - всё.

спасибо большое!!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\common files\\microsoft shared\\web folders\\ibm00001.dll - [B]Trojan-PSW.Win32.Sinowal.co[/B] (DrWEB: Trojan.PWS.Gamma)[/LIST][/LIST]