Как избавиться от Dialer.Mywinpop?

[FONT=Times New Roman][SIZE=3]Добрый вечер! Опять не обойтись без вашей помощи :([/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Dialer.Mywinpop меня замучил!!! После загрузки DrWeb выдает:[/SIZE][/FONT]
[FONT=Times New Roman][FONT=Times New Roman][SIZE=3][B]C:\DOCUME~1\User\LOCALS~1\Temp\pa_0177.exe - инфицирован Dialer.Mywinpop[/B]. Я это дело удаляю, а при след. загрузке все сначала :([/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Если загружаться не в сети, то чисто. Но как только включаешь сеть, то нате получите. Заранее благодарю за помощь[/SIZE][/FONT]
[/FONT]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\csrs.dll','');
QuarantineFile('c:\windows\csrs.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится. Потом еще один скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\csrs.dll');
DeleteFile('C:\WINDOWS\csrs.exe');
BC_DeleteFile('C:\WINDOWS\csrs.dll');
BC_DeleteFile('C:\WINDOWS\csrs.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Снова будет перезагрузка.
После этого пришлите карантин по правилам
и сделайте новые логи.

От сети лучше отключиться?

Лучше отключиться.

Все сделал.
Файл сохранён как 070604_192929_virus_46642fd9a9e01.zip
Размер файла 29927
MD5 df0bc9a3b0deb1772586898782e26def

Логи прилагаю
Жду приговора ;)

похоже, что-то интересное ;)
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine();
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\xpdx.sys','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
После этого пришлите карантин по правилам

Карантин закачен
Файл сохранён как 070604_215144_virus_466451307aad0.zip
Размер файла 119268
MD5 de7b4681b4ac81c8d3f0c9ed764d58a7

комп очень долго перегружался, потом была checking system

Совсем свежий экземпляр руткита : [url]http://www.virustotal.com/vt/en/resultadox?9d63fb1d5c994a2e42ab4e6fbf638abb[/url]
Будем убивать ;) :
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\xpdx.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки, сделать новые логи.

Все сделал. Логи прилагаю.
Похоже, что еще не все :?

на всякий случай проверить вот это :
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine();
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\rundll32.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
Если rundll32.exe будет в карантине, то прислать . Если ничего не попадёт- значит больше ничего не видно ;)
P.S. можно ещё пофиксить (C hijack this )корявую строчку от Boadcom Corporation:
(она уже похоже удалена - файла нет )
[code]
O23 - Service: Btccachtd - Broadcom Corporation. - (no file)
[/code]

AVZ пишет ошибка '.'expected в позиции 10:1

Попробуйте ещё раз.

Похоже я точку в конце не скопировал Sorry ;)
процесс пошел :)

Карантин закачал
Файл сохранён как 070605_001937_virus_466473d95aefd.zip
Размер файла 27520
MD5 159d3e67dba9be0a3960b464b0013ccd

Код О23 уже другой

Похоже, что жизнь налаживается :)

Присланный файл чистый.

Службу-пустышку так и не пофиксили.
Можно это сделать так - открыть окно командной строки, набрать:
[B]sc delete Btccachtd[/B]
и нажать [I]Enter[/I]. В ответе системы должно быть слово [I]success[/I].

Всем огромадное спасибо :)
Жизнь совсем наладилась :)

PS [B]Btccachtd[/B] удалил ;)

Чтобы уменьшить шанс заражения советую на будущее :
1) работать за компьютером из под ограниченного пользователя.
2)Пользоваться для хождения по интернету другим браузером с отключёнными скриптами по умолчанию (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
Сделайте следующее: [url]http://virusinfo.info/showthread.php?t=3519[/url]

, чтобы в следующий раз вас не просили присылать те же самые файлы ( они должны стать зелёными в логе).

C:\WINDOWS\system32\xpdx.sys Будет по касперскому называться


- [B]Trojan.Win32.Pakes.x[/B]

Спасибо за совет ! :)
Стал выполнять п.2 - получил кучу файлов в карантин :(
Отправить вам карантин или virusinfo_files

[quote=drongo;114035] ... чтобы в следующий раз вас не просили присылать те же самые файлы ( они должны стать зелёными в логе).[/quote]
а это о чем? Объсните непутевым :?

[QUOTE=Al_ex;114056]а это о чем? Объсните непутевым :?[/QUOTE]
Чистые файлы попадут в базу безопасных по АВЗ. Будет меньше вопросов и проще читать логи.

А зеленые логи должны быть в АВЗ ? У меня были красные :( и они попали в карантин :(
Что делать?

Так написали же: [url]http://virusinfo.info/showthread.php?t=3519[/url]

ОК
Закачал
Спасибо! :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\csrs.dll - [B]Trojan-Clicker.Win32.Small.kj[/B] (DrWEB: Trojan.Click.2506)[*] c:\\windows\\csrs.exe - [B]Trojan-Clicker.Win32.Small.kj[/B] (DrWEB: Trojan.Click.2505)[*] c:\\windows\\system32\\xpdx.sys - [B]Trojan.Win32.Pakes.x[/B] (DrWEB: Trojan.Spambot)[/LIST][/LIST]