Процесс explorer.exe похоже запускает трояна

Приветствую!

Проблема в следующем:

В системе появился второй процесс Opera.exe меньшего размера (занимает около 1 Мб памяти), который лезет в интернет через TCP на 211.240.82.70:845.

Убивать процесс бесполезно. Через пару секунд он запускается вновь и еще через секунд 15 опять лезет в инет.

Этот процесс запускаяется независимо от того запущена ли настоящая Опера. И судя по данным программы Process explorer, его родительским процессом является Explorer.exe.

Попробовал завершить Explorer.exe - и эта несанкционированная версия оперы тоже перестала появляться. Как только запустил Explorer.exe тут же запускаеся и этот шпион.

Пока закрыл ему доступ в инет через файрвол конкретно на этот адрес и порт, но очень бы хотелось полностью избавиться от этой напасти.

Выполните скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\lssas.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

Скрипт выполнил. Карантин отослал.

C:\WINDOWS\system32\lssas.exe - [B]Backdoor.Win32.Bifrose.adz [/B](по KAV).
Скрипт для удаления:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\lssas.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки повторите логи п.10 и 12 правил.

Сделал

Странно, а откуда взялся utorrent.exe в автозапуске?
Вы его сами ставили?

Обычно utorrent у меня стоит в автозапуске. Но перед тем как делать логи AVZ/HijackThis я временно из автозапуска все поубирал. Потом вернул. А перед тем как делать вторые логи наверно забыл его убрать из автозапуска.

Судя по отсутствию второго процесса Оперы, проблема больше не проявляется? Правда запись в реестре от этого lssas.exe так и осталась. Надеюсь, сам файл успешно удален, но все-таки попробуйте поискать его вручную. Если не найдется, выполните скрипт:
[code]begin
DelCLSID('3B84849C-1C2F-81B9-0407-010203060000');
end.[/code]
и повторите лог п.10 правил.

c:\Programe.exe- сами ставили ?

[QUOTE=Bratez;106813]Надеюсь, сам файл успешно удален[/QUOTE]
Да, второй процесс Оперы пропал. Файла lssas.exe на диске не нашлось.
Лог сделал.

[QUOTE=drongo;106814]c:\Programe.exe- сами ставили ?[/QUOTE]
Нет, такой файл не ставил. И по этому пути сейчас его не вижу.

ОК, теперь все чисто.

Очень признателен за помощь.
Удачи, и приятных праздников!

описка небольшая
А такой :C:\Program.exe

если нет , пофиксить :
[code]
O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)
[/code]

A! C этим MySQL и C:\Program.exe уже была история. Когда в прошлый раз мне здесь ребята помогали избавиться от одного червяка, [URL="http://virusinfo.info/showpost.php?p=96063&postcount=4"]там тоже[/URL] в логах всплыла эта строка
[code]
O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)
[/code]

Причем, что интересно, это было совершенно на другой машине.

Я тогда пофиксил ее, после чего MySQL перестал запускаться. Пришлось его переустановить. Строка тогда так и осталась.

В принципе, никаких побочных эффектов от нее я не замечал. Так что решил дальше не копать.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\lssas.exe - [B]Backdoor.Win32.Bifrose.adz[/B] (DrWEB: Trojan.Packed.650)[/LIST][/LIST]