Не пойму- опять, похоже, вражина пробрался!

Всем привет!
Последнее время (дней 10 может) мой комп стал подтормаживать в работе. Я занервничал, сделал глубокое сканирование NOD32- все чисто. Смотрел автозагрузку- тоже ничего интересного не нашел. А сегодня при выходе из ждущего режима выскочило сообщение, мол обнаружена критическая ошибка виндов, зайдите на сайт, скачайте и установите программу для устранения ошибки. Адрес сайта, ессно, левый абсолютно (название списАть забыл). Комп домашний, установлены NOD32 2.7 Control Center и Outpost Firewall Pro ver. 4.0.971.7030 (584). Поскольку часто работает жена- могла че-нить и зацепить или открыть по незнанию (говорит правда, ничего левого не открывала).>:( Необходимые логи прикрепляю. Спецы, гляньте, есть ли что-нить криминальное?

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\ac3filter.cpl','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\inspDetS40n.ocx','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\inspDetS30.ocx','');
QuarantineFile('C:\Program Files\SoftForum\XecureWeb 4.0\ActiveX\xwctl40.dll','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\inspDetS20.ocx','');
QuarantineFile('C:\WINDOWS\DOWNLO~1\NETCAM~1.OCX','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\inspDetS10.ocx','');
QuarantineFile('D:\MyPhoneExplorer\DLL\ShellMgr.dll','');
QuarantineFile('c:\windows\svchost.exe','');
DeleteFile('c:\windows\svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки [URL="http://www.virusinfo.info/showthread.php?t=4491"]"пофиксите"[/URL] в HijackThis [CODE]R3 - URLSearchHook: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O16 - DPF: {224B38F5-5C81-11D6-880E-00A0B006B47F} (inspDetS10.uInspDetS10) - http://www.saa.co.kr/buy/memhome/poss/inspDetS10.CAB
O16 - DPF: {2344525C-D704-48EE-92AF-61A423443503} (RewardNetwork amLauncher Class) - http://affiliate.rewardnetwork.net/codebase/launcher/WSautoshop.cab
O16 - DPF: {298BFFEE-662D-11D5-ADAF-00E0810232D7} (lgbplay Class) - https://video.manheim.com/lib/LiveSound.dll
O16 - DPF: {4A026B12-94F3-4D2F-A468-96AA55DE20A5} (NetCamPlayerWeb11g Control) - http://82.129.130.250/img/NetCamPlayerWeb11g.ocx
O16 - DPF: {5C0F0487-5C82-11D6-880E-00A0B006B47F} (inspDetS20.uInspDetS20) - http://www.saa.co.kr/buy/memhome/poss/inspDetS20.CAB
O16 - DPF: {7E9FDB80-5316-11D4-B02C-00C04F0CD404} (XecureWeb 4.0 Client Control) - http://eib.keb.co.kr/XecureObject/xw40_install.cab
O16 - DPF: {B8D552BB-5C82-11D6-880E-00A0B006B47F} (inspDetS30.uInspDetS30) - http://www.saa.co.kr/buy/memhome/poss/inspDetS30.CAB
O16 - DPF: {DFB12691-5DE9-11D6-880E-00A0B006B47F} (inspDetS40n.uInspDetS40n) - http://www.saa.co.kr/buy/memhome/poss/inspDetS40n.CAB[/CODE]
Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

[B]Важно! [/B]Обратите внимание на это:
[QUOTE]Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)[/QUOTE]
Необходимо установить SP2 и последующие обновления!
Иначе будете тут постоянным клиентом ;)

[B]MaXim[/B] Скрипт выполнил, строки "пофиксил". Файлы карантина- это все файлы, которые показываются через файл-> просмотр карантина? Их там штук 20, на 2 мега, все высылать? Новые скрипты прилагаю.
[B]Bratez[/B] Я думаю, SP2 и обновления не установить на данный комп. Винда стоИт нелицензионная, обновиться с Майкрософта не захочет поди? Или можно попытаться?

Очевидный зловред удален, остальное скорее всего чистое, но все таки пришлите, если не сложно, случаи бывают разные.

SP2 не требует проверки подлинности, но потребует повторной активации. Большинство более поздних обновлений, по крайней мере - критические, также устанавливаются без проверки.

[B]Bratez[/B] ОК, все файлы из карантина отправил, гляньте их, пожалуйста. И еще вопрос- после установки SP2 можно будет сделать активацию аналогично SP1, т.е. reset-ом?

[QUOTE]И еще вопрос- после установки SP2 можно будет сделать активацию аналогично SP1, т.е. reset-ом?[/QUOTE][B]Мы не даём консультаций по использованию крэков и других средств, нарушающих лицензию ПО.[/B]

[quote=MaXim;110867][B]Мы не даём консультаций по использованию крэков и других средств, нарушающих лицензию ПО.[/B][/quote]
Ой, сорьки!:embarasse И правда, о чем это я???
Ладно, мужики, огромное спасибо за помощь!

[QUOTE]Ладно, мужики, огромное спасибо за помощь![/QUOTE]Не спешите радоваться. Ещё не пришел результат анализа некоторых файлов...

[quote=MaXim;110870]Не спешите радоваться. Ещё не пришел результат анализа некоторых файлов...[/quote]
Ну так я не радуюсь, я жду... Вдруг мой комп поразил новый мега-вирус? Вообще поражение вирусом раз в пол-года кмк вполне терпимый результат.;)

C:\WINDOWS\svchost.exe - [B]Trojan-PSW.Win32.LdPinch.atw[/B]
C:\WINDOWS\Downloaded Program Files\inspDetS30.ocx, C:\Program Files\SoftForum\XecureWeb 4.0\ActiveX\xwctl40.dll - [B]Trojan-PSW.Win32.Nilage.zd[/B] (по Kaspersky).

[B]Bratez[/B], говоришь остальные файлы чистые? ;)

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\Downloaded Program Files\inspDetS30.ocx');
DeleteFile('C:\Program Files\SoftForum\XecureWeb 4.0\ActiveX\xwctl40.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите логи. В срочном порядке меняйте [B]все[/B] пароли.

[B]MaXim[/B], дзенькую бардзо! Скрипт выполнил, на мой взгляд после этого в эксплорере пошустрее залетал компьютер. А пароли- да там ниче интересного-то нет, авторизация на сайтах/форумах да ася 9-значная. Неужели понадобится кому-нить? (на всяк случай поменял) :D Логи прилагаю...

В логах чисто.
[QUOTE]MaXim, дзенькую бардзо![/QUOTE]С переводом, пожалуйста :) Это кстати на каком языке Вы сказали?
[QUOTE]А пароли- да там ниче интересного-то нет, авторизация на сайтах/форумах да ася 9-значная.[/QUOTE]Странно, что в течении этих 10 дней Вы ещё ей пользовались.
[QUOTE]Неужели понадобится кому-нить?[/QUOTE]У Вас найдено два трояна, ворующих пароли. Значит кому-то понадобилось. Попытайтесь вспомнить, где Вы эти трояны могли получить. Если будут какие-то ссылки, тогда мне в личку. На форуме не публикуйте.

Кстати, было бы хорошо отправить файлы карантина ещё в вир. лаб NOD'а. Поищите у нас на форуме их адрес.

Ну и как обычно даю [URL="http://security-advisory.newmail.ru/"]ссылку[/URL], на рекомендации по профилактики.

Вы можете нас отблагодарить [URL="http://www.virusinfo.info/showthread.php?t=3519"]так[/URL] Мы будем Вам очень благодарны!
В качестве вариантов ещё почитайте [URL="http://www.virusinfo.info/showthread.php?t=2645"]тут[/URL] и [URL="http://www.virusinfo.info/showthread.php?t=7294"]тут[/URL]

Отдельно поблагодарить хелперов можно повысив им рейтинг. Для этого есть кнопочка в самом низу "визитной карточки" в виде весов у сообщения хелпера.

Удачи!

[QUOTE=MaXim;110875]С переводом, пожалуйста :) Это кстати на каком языке Вы сказали? [/QUOTE]
bardzo dziękuję (PL)=Danke Schoen(D)=Thank You Very Much(GB)=щиро дякую(UA)= большое спасибо(RUS)=Muchas gracias(Е)=Muito obrigada(POR)=Mille Grazie(I) :D
Сорри за ОТ.

[B]MaXim[/B] Это по-польски, но я больше ничего не знаю. Про трояны ничего не скажу, но уверен, что их подцепила жинка где-то, я хожу только по проверенным местам, они у меня все в избранном.:) А она шарится где попало- рэмблером поиск включит, и пошла 20 страниц ссылок лопатить.:D Так что тут не угадаешь. По остальным ответам- спасибо, принял к сведению.

Если что обращайтесь, но лучше будьте здоровы :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\svchost.exe - [B]Trojan-PSW.Win32.LdPinch.byx[/B] (DrWEB: Trojan.Packed.166)[/LIST][/LIST]