Проверьте пожалуйста файлик

при очередном осмотре AVZ поругался на файлик autelc.dll как на кейлоггер троян. Эта dll'ка без цифровой подписи. Грузится в разделе winlogon notify. После отложенного удаления система его не восстановила. System restore отключено, значит в кеше системных dll этого файла нет. (иначе он вернулся бы на место). Сделал вывод вывод что файл не от системы, раз она без него блаполучно обошлась. Находился в [URL="file://\\.\WINDOWS\system32"]\\.\WINDOWS\system32[/URL]. Кто может поисследовать хотя-бы на вскидку - что это за зверь.

файлик в rar архиве без пароля. сварганил не по инструкции потому что сначала скопировал на всякий случай, потом прибил. а так как и без него все работает - задумался :upset: а не отправить ли знающим людям.

Спасибо всем кто откликнется.

Нет уж , присылать только по ссылке вверху вашей темы ( [url]http://virusinfo.info/upload_virus.php?tid=9299[/url] ) и с паролем virus
в зипе .Сделайте логи, посмотрим , что там осталось.

фалик переотправил в zip'е с нужным паролем.

Файл сохранён как 070426_131052_autelc_46306c9ce2b92.zip
Размер файла 19757
MD5 c66a8f32db8a81e9aa3f9748ff324156

поспешил и аналогично через ссылку вверху темы отправил так же и лог. На вский случай вложил и сюда.

выполните скрипт AVZ - файл - выполнить скрипт, копьютер перезагрузиться

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\autelc.dll','');
QuarantineFile('C:\WINDOWS\system32\tmp5.tmp.dll','');
DeleteFile('C:\WINDOWS\system32\autelc.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/code]

после перезагрузке файлы из папки AVZ - Quarantine - сегодняшнее число залейте по правилам приложения 2

пофиксите в hijackthis
[code]O2 - BHO: (no name) - {1557B435-8242-4686-9AA3-9265BF7525A4} - C:\WINDOWS\system32\tmp5.tmp.dll
O2 - BHO: (no name) - {1bc8233e-9e32-4ce8-a545-137d10308b4a} - C:\WINDOWS\system32\autelc.dll (file missing)
O20 - Winlogon Notify: autelc - autelc.dll (file missing)
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\[/code]

Логи AVZ нормальные выложите..

Нужны логи от AVZ. Чувствую, будет небольшой улов гадости.

Для тех кто в бронепоезде, специально написали большими буквами что логи прикреплять к теме а не загружать по ссылке :)А вы в каких войсках ?

autelc.dll - Packed.Win32.Klone.k по касперскому

Войска: компутерных сантехников укомплектованные супер ботинками с магическим бонусом по скорости +5 и мышой помошником с повышенной самокликабельностью и продвинтуым AI :D

Прошу извинить за ошибку. Поторопился. Кстати - думается большие буквы надобны в теме непосредственно, примечание добавить там, где ссылка для загрузки запрошенных файлов. (Было прыятно прочитать спасибо ;) )

После отправки файла проверил DrWEB cure it в защищенном режиме. Выгребло несколько несколько дряни. На всякий случай привожу лог:

c:\windows\system32\lsasss.exe инфицирован Trojan.Click.2133 - удален
c:\windows\system32\srvany.exe является потенциально опасной программой Program.SrvAny
c:\windows\system32\srvany.exe - перемещен
c:\windows\system32\tmp5.tmp.dll инфицирован Trojan.Juan - удален
C:\Documents and Settings\Dmitry\Local Settings\Temp\tmp3.tmp.exe инфицирован Trojan.DownLoader.19433 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temp\tmp4.tmp.exe инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temp\tmp5.tmp.exe инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\0LQJ01AF\fish20070418[1] инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\3LCS17RL\drf1177568675[1].htm инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\3LCS17RL\drf1177568675[1].htm.exe инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\MJ25WFYZ\ffa_dn_20070424[1] инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\VX7OP3JS\lientnstaller15_02[1] инфицирован Trojan.DownLoader.19433 - удален
>C:\Documents and Settings\Алексей\Local Settings\Temporary Internet Files\Content.IE5\W9YZ0PEF\0f87456fc4a1ac162ea4794358a3d5b3[1] инфицирован Trojan.Click.2133 - удален

Пофиксил рекомендуемые пункты в HijackThis. Прошенные файлы со своего компутера прислать не могу, в связи с тем что, собственно, они удлены DrWEB'ом. Но он их определил как "нормальный" вирус с уже известным именем. В приведенном логе присутствуют.

Выполняются два стандартных скрипта в AVZ:
скрипт сбора/лечения/карантина и сбора информации для virusinfo.info
скрипт сбора неопознанных подохрительных файлов

результат выложу по готовности.
-----
PS. не сразу ответил на сообщения - услали за железом. Доделываю. Видю стал "редиской" :(

ZIP результат работы AVZ - выслан. (через ссылку)
лог приереплен к текущему сообщению

как бы убедиться - что все все прибито....

Завтра пойду в тему сравнения антивирусов :)

1. Не уходить пока из темы. Рановато будет ИМНО
2. Обновить AVZ. Текущая версия 4.25
3. Выполнить скрипт. Прислать карантин после перезагрузки.

[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\urrsqp.dll','');
RebootWindows(true);
end.[/CODE]

4. Нужен лог от HijackThis.

Выполнил.
Вопрос: на каком основании Вы решили проверить именно это файл? Если не секрет и как проверяете?

[B]Это вирус Packed.Win32.Klone.k[/B]

Уберите архив из темы!

[QUOTE=Bratez;106449][B]Это вирус Packed.Win32.Klone.k[/B]
[/QUOTE]
как уже было установлено тут
[url]http://virusinfo.info/showpost.php?p=106101&postcount=7[/url] ;)
[QUOTE]Уберите архив из темы![/QUOTE]
Товарищ не понимает:? ?
[QUOTE=drongo]Для тех кто в бронепоезде, специально написали большими буквами что [B]логи[/B] прикреплять к теме а не загружать по ссылке А вы в каких войсках ?[/QUOTE]

[quote=Rene-gad;106451]

Товарищ не понимает:? ?[/quote]

вирус пошёл дальше , через мышь :)

[QUOTE=WhiteWolf;106444]Выполнил.
Вопрос: на каком основании Вы решили проверить именно это файл? Если не секрет и как проверяете?[/QUOTE]

Это секрет мастерства древних мастеров, он не разглашается. (шутка!!)

Проверяем онлайновыми антивирусами + virustotal. В соотв. разделе есть темы.

[QUOTE=Rene-gad;106451]как уже было установлено тут
[url]http://virusinfo.info/showpost.php?p=106101&postcount=7[/url] ;)

Товарищ не понимает:? ?[/QUOTE]

Товарищ про другой файл спрашивает, а про загрузку многие не понимают, как и про распространение вирусов.

надо звуковой сигнал ввести у нас на форуме, предлагаю рык льва :)))

Друзья, не надо льва :)
я никак не найду как удалить присланный файлик. Речь, как я понял, идет о присланной мной dll'ке?

Сверху темы есть ссылка - Прислать запрошенные файлы

Но там есть только закачать и нету удалить
И из своего собственного сообщения ошибочно приаттаченный файл как убрать - непонятно
:?

Из сообщения разобрался. А из темы - так и не понятно. В ссылке наверху - нет!!! менеджмента отправленных файлов.