simp_dll.dll Правила уже 2 раза выполнил!

Доброго времени суток. У меня проблема уже второй день... Хапанул на каком-то сайте троян. Стоял McAfee Антивирус и Файрвол все с последними базами.. Не помогло. Первым панику поднял файрвол о куче каких-то непонятных процессов ломящихся в сеть (ессно всё позапрещал) запустил проверку... че-то нашел, удалить смог не все. Перегрузил комп.

Начал проверять всем подряд.. (выполнил правила) нашел кучу заразы через CureIt, потом ещё нашел какие-то мелочи через AntiVir... AVZ ничего не нашел. Прогоняю через Ad-Aware SE постоянно находит по 20 плохих програм, иногда больше... до этого тоже через него нашел много всякой хрени... Снова выполнил правила. Потом на сайте McAfee прочитал что надо после чистки прегрузить в БР и удалить ndis.sys а потом кинуть чистый с другого компа... сделал - Х! опять прогнал всеми антивирями и сканерами - пусто!...

К чему я это всё пишу... а к тому что в процессе выполнения всего этого безобразия у меня постоянно кричит антивирус McAfee что мол "The file C:\WINDOWS\System32\simp_dll.dll was infected by the Spam-Xarvester trojan and has been deleted to complete the clean process" нажимаю продолжить... а эта фигня снова появляется и так бесконца и края. Остальные антивири уже ничего не находят (пробовал отключать макафи) всё ровно пусто... только его включаю опять это сообщение и постоянно так. В БР не могу этот файл удалить, прописывал скрипт в AVZ говорит мол скрипт выполнен, презагрузил опять simp_dll.dll!

Подскажите плз.... я уже просто вымотан за эти два дня... сижу с выключеным антивирусом, так как сообщение загораживает половину экрана!... Спасибо.

выполните логи по правилам
[url]http://virusinfo.info/showthread.php?t=1235[/url]

вот последний лог из AVZ... HijackThis у меня скачался, но чё-то файл неизвестного формата почему-то.. что с ним сделать?.. так щас

второй лог из AVZ с отключенным антивирусом (даже двумя) и файр волом... Hijack у меня скачивается как Неизвестный файл и не запускается

нужны все три лога,скачайте HijackThis ещё раз, файл имеет расширение .exe
попробуйте [url]http://www.trendsecure.com/portal/en-US/threat_analytics/hijackthis.php?page=hijackthis[/url]

спасибо... вот последний лог

прочтите внимательно правила,должно быть три лога [B]virusinfo_syscheck,virusinfo_syscure,hijackthis[/B] у вас ещё одного не хватает.
и пришлите файл [B]simp_dll.dll[/B] по правилам

[QUOTE='самурай;121647']Вроде всё сделал в этот раз как надо.[/QUOTE]
Нет, нельзя прикреплять другие файлы кроме нужных логов. Читайте ещё раз ;)
По этому линку загружать: [url]http://virusinfo.info/upload_virus.php?tid=10928[/url]
Обязательно файл архивировать в zip с паролем virus

Раз проблема была с ndis.sys попробуйте скачать [url]http://virusinfo.info/attachment.php?attachmentid=10580[/url]

Перезагрузитесь в безопасный режим, запустите утилиту и нажмите кнопку Patch.
в hijackthis профиксить:
[CODE]O15 - Trusted Zone: *.p0rt2.com[/CODE]

Перезапустил в БР, пропатчил, профиксил... вернулся в обычный. Не помогло... может это МакАфи тупит?

1.Проверь эту dll на virustotal.com Дл своего успокоения
2.Загрузи по ссылке вверху темы сюда.

Кстати, а восстановление системы отключено? Может она оттуда вылезает.

я на сайте McAfee читал ... сделал всё что там сказали (обновить антиврь, перегрузить в БР, заменить dis.sys на рабочий) отключил востановление ещё тогда не помогло, началась вот эта чехарда с удалил-вернулся... кинул эту длл по ссылке в зип архиве...

[size="1"][color="#666686"][B]Добавлено через 12 минут[/B][/color][/size]
Ikarus T3.1.1.8 07.10.2007 SpamTool.Win32.Agent.u
Kaspersky 4.0.2.24 07.10.2007 SpamTool.Win32.Agent.u
McAfee 5070 07.09.2007 Spam-Xarvester
Microsoft 1.2704 07.10.2007 Spammer:Win32/Agent.U
NOD32v2 2389 07.10.2007 Win32/Spabot.NAH
Sophos 4.19.0 07.06.2007 Mal/SpamTool-A
Webwasher-Gateway 6.0.1 07.10.2007 Win32.UPXpacked.gen!94 (suspicious)

ну да мой мак её так и определил... но вот откуда она снова вылазит не понятно

Варианты:
1. Из восстановления системы
2. Что-то ее переименовывает.
3. Запустить просто IE. Сделать лог AVZ.

- Востановление отключено
Что значит сделать лог AVZ? т.е. просто запустить проверку?

Да, выполнить пункты Правил с запущенным IE.
Надеюсь, в логах что-то новое увидеть.

вот новые логи только что сделал

не получается крепить новые логи из AVZ мне говорят "вы уже вложили этот файл в теме и название этой темы" как это понимать? я не могу больше выкладывать сюда логи?

удалите старые и будет место для новых ;)

ну вот еще один получилось

а тот который cure вообще никак не хочет

[B]самурай[/B], в папке [B]\WINDOWS\system32\drivers\[/B] найдите драйвер [B]ndis.sys[/B], скопируйте его вручную и пришлите нам [U]по правилам[/U].

[size="1"][color="#666686"][B]Добавлено через 2 часа 9 минут[/B][/color][/size]
Хм... Файл чистый.

файл закачал... установил NOD32v2... та же история что и с макафи... только табличка в три раза больше :)

блин... какой ужас... я уже не знаю... танцы с буьбном устроить вокруг него чтоли

AVZ -> Файл -> Выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\RUNXMLPL.exe','');
QuarantineFile('\WINDOWS\system32\ntkrnlpa.exe','');
QuarantineFile('C:\WINDOWS\system32\XMLParser.dll','');
QuarantineFile('C:\WINDOWS\system32\DBSOCK.dll','');
QuarantineFile('C:\Program Files\XemiComputers\Active Desktop Calendar\MouseHook.dll','');
QuarantineFile('C:\Documents and Settings\Ï\Application Data\Mra\Update\games.dll','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения, система перезагрузится.
После перезагрузки, отправте нам карантин [B][U]по правилах[/U][/B].

выполнил и отправил

Ну что, как вы уже знаете это новая модификация [B]SpamTool.Win32.Agent.u[/B].
Плохие новости - заражен системный файл [B]ntkrnlpa.exe[/B].

1. Скачайте и сохраните чистый файл [URL="http://rapidshare.com/files/42294752/ntkrnlpa.zip.html"][B]ntkrnlpa.exe[/B][/URL]


2. Выполните вот такой скрипт в AVZ:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\ntkrnlpa.exe');
DeleteFile('C:\WINDOWS\System32\simp_dll.dll');
BC_ImportDeletedList;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(false);
end.[/CODE]

3. После перезагрузки скопируйте чистый файл [B]ntkrnlpa.exe[/B] в папку [B]C:\WINDOWS\system32\[/B].

4. [B][COLOR="Red"]Перегрузите систему.[/COLOR][/B]

5. После перезагрузки, зделайте [U][B]все три лога[/B] по правилам[/U].

Спасибо огромное!! всё вроде заработало... вот логи последние :D

[B]simp_dll.dll[/B] - всё ещё остался.
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\П\Local Settings\Temp\*.*');
DeleteFile('C:\WINDOWS\Temp\*.*');
DeleteFile('C:\WINDOWS\system32\simp_dll.dll');
BC_DeleteFile('C:\WINDOWS\system32\simp_dll.dll');
ExecuteSysClean;
BC_ImportALL;
BC_LogFile(GetAVZDirectory + 'boot_del.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
[B]boot_del.log [/B]- прикрепите к сообщению
скачайте [URL="ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe"]утилиту от DrWeb - CureIT[/URL]
и в безопасном режиме сделайте полную проверку дисков.
повторите логи.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ntkrnlpa.exe - [B]Trojan.Win32.Patched.ah[/B] (DrWEB: Trojan.Spambot.2379)[*] \\simp_dll.dll - [B]Trojan-Proxy.Win32.Pixoliz.fr[/B] (DrWEB: Trojan.Spambot)[*] \\windows\\system32\\ntkrnlpa.exe - [B]Trojan.Win32.Patched.ah[/B] (DrWEB: Trojan.Spambot.2379)[/LIST][/LIST]