Обнаружен троян. Можно ли удалить?

Недавно притащили комп с работы с кучей всякого барахла, вызвали тех. спеца для очистки. Он просканировал с помощью ad-aware, сказал, что есть троян, а какой и когда-узнать не возможно. Я еще раз прогнал aware : [COLOR=Red]WIN32.TrojanPWS.LdPinch (5Object total) new critical object:83 average[/COLOR] [COLOR=Red]TAC:6,500[/COLOR].
NOD32 2.7 показал :[COLOR=Black]модуль IMON;вирус [COLOR=Red]VBS/TrojanDropper.Zerolin.B троян[COLOR=Black] - это от 24.08.07г.
А уже 11.09.07г-модуль AMON; вирус[COLOR=Red] HTML/Exploit.IESlice.NACтроян[/COLOR]-перемещен в карантин.;
модуль IMON; вирус HTML/Exploit.IESlice NACтроян-связь завершена. Информации-нет. Карантин пустой.
Два сообщения в Лог событий: Модуль-ядро. Ошибка инициализации системы отправки подозрительных файлов для анализа.
Еще 48 папок и файлов-ошибка открытия; файл заблокирован; архив поврежден и т.д. Вирусов-нет. Awast4 вообще ничего не нашел.
:'-( ЧТО ДЕЛАТЬ? Переустанавливать систему?
[/COLOR][/COLOR][/COLOR]

выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\Roman\Application Data\Mra\Update\mrasearch.dll','');
QuarantineFile('\??\C:\WINDOWS\system32\DRIVERS\NVKEYNT.SYS','');
QuarantineFile('c:\windows\felix.exe','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll','');
DeleteFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ..

C:\WINDOWS\Downloaded Program Files\popcaploader.dll [b] not-a-virus:Downloader.Win32.PopCap.a [/b]
не попавшие в карантин файлы:
C:\Documents and Settings\Roman\Application Data\Mra\Update\mrasearch.dll
c:\windows\felix.exe
попробуйте поискать через AVZ-cервис -поиск файлов на диске ... если найдутся пришлите по правилам...

сделайте лог [url]http://virusinfo.info/showthread.php?t=10387[/url]

[quote=V_Bond;136285]C:\WINDOWS\Downloaded Program Files\popcaploader.dll [B] not-a-virus:Downloader.Win32.PopCap.a [/B]
А что ето було?

это адваре,загрузки рекламы :)
не забудь про файлы которые попросил [B]V_Bond[/B] и лог

[QUOTE=Muzzle;136412]это адваре,загрузки рекламы :)
не забудь про файлы которые попросил [B]V_Bond[/B] и лог[/QUOTE]
Я отправила через "Прислать запрошенные файлы" и лог - тоже. Но сомневаюсь, что все правильно! Сделать еще раз?
При выполнении лога: "1. AVZ/Файл/Стандартные скрипты - отметить #1 - Выполнить" - нечего отмечать-там пусто. Если я торможу-извиняюсь! Подскажите, что не так

[QUOTE]
нечего отмечать-там пусто
[/QUOTE]
А когда вначале логи делали, отмечали #3 и #2 - не было пусто? ;)

[quote]
Я отправила через "Прислать запрошенные файлы" и лог - тоже.[/quote]
Логи не надо присылать, их надо прикреплять к своей теме.
[quote]
При выполнении лога: "1. AVZ/Файл/Стандартные скрипты - отметить #1 - Выполнить" - нечего отмечать-там пусто.[/quote]
AVZ запускали из ZIP-а? Надо было весь архив распаковать в отдельную папку.

Два запущенных антивируса (Avast + NOD32) могут конфликтовать друг с другом.
Какие остались проблемы?

Еще раз все сделала. Отправила. Получилось то же самое.
Лог выполнить удалось только это :"2. Файл/Исследование системы - переключить "Только активные службы и драйверы" на "Все службы и драйверы" -Пуск/Сохранить протокол
3. Упакуйте протокол в архив zip или rar и прикрепите к теме вместе со стандартными логами."
Все равно стандартные скрипты-пусто.
???

в каталоге где у вас AVZ - подкаталог LOG ? лог там искали ?

Sorry Sorry!!! Еще вопрос: мне сейчас ЧТО нужно сделать?
Прикрепить новый лог к первому сообщению со своей темой?...
AVZ- не из ZIPа, он и есть в отдельной папке...
Avast-удалила сразу как мне V_Bond велел.
Я впервой всем таким занимаюсь, прошу быть великодушными.....

прикрепите к вашему последнему сообщению ............

Может все это бросить, раз у такие проблемы начинаются? Наверное и браться не надо было??????

где проблемы ? (верчу головой по сторонам) :)

Выполняю:wall:

Терзают смутные сомненья, что меня посетил дядюшка Туплю :computer:

Yahoo Toolbar очень нужен? А то в нем Adware много, то бишь рекламы. Я бы удалил его.

А на Пинча подозревают Ваш felix. Его и Касперский очень не любят. Есть felix lite, вот на него вроде бы подозрений нет.

[quote='PavelA;136556']Yahoo Toolbar очень нужен? А то в нем Adware много, то бишь рекламы. Я бы удалил его.

А на Пинча подозревают Ваш felix. Его и Касперский очень не любят. Есть felix lite, вот на него вроде бы подозрений нет.
__________________
Павел[/quote]
Я не знаю, для чего Yahoo Toolbar нужен. Рискну предположить, что мне незачем:? Прям удалить? Через "установка и удаление программ"?
А с fеlix что делать?

Yahoo Toolbar - лучше удалить ...
felix.exe - пускай стоит (нод ведь) ...

[QUOTE='V_Bond;136617']felix.exe - пускай стоит (нод ведь) ...[/QUOTE]
Ясно. А мои логи и скрипты-можно подвести итог? Или...

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

У меня куча программ, назначений половины из них я не знаю. Можно прислать перечень, а вы просвятите темноту?

сделайте еще раз полный комплект логов ... для контроля ...

Вот логи.
Через felix.exe выход в ин-нет (через местную сеть)
Как на счет "потенциально опасные службы"?
Порт 6667 UPD-Backdoor.Kilo?
C:\Documents and Settings\Roman\Application Data\rambler.ru\toolbar\mail.mp3?

[QUOTE=Kotofei Kotofee;136853]В
Порт 6667 UPD-Backdoor.Kilo?
[/QUOTE]
вы пользовались сканером безопасности ?
поставте [URL="http://virusinfo.info/showthread.php?t=3721"]фаервол[/URL] для начала ...
в логах не вижу ничего зловредного...
осталось пофиксить ...
[code]
O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)
[/code]
и решить что из этого необходимо ...
[I]>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> разрешена потенциально опасная служба TermService (Terminal Services)
>> разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[/I]

Можно узнать, почему NOD при скан. для многих файлов пишет: ошибка открытия( файл заблокирован)?

значит этот файл в данный момент используется и нод не может получить к нему доступ ...

осталось пофиксить ...
[code]
O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)
[/code]:wall::wall::help: Караул! Помогите! КОСЯК!!! Случайно удалила этот файл:embarasse
Что делать??????



Можно узнать имя или расширение этого файла-я его попробую вернуть через RecoverMyFiles

какай файл ?

O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file) - профиксила, но кое-кто случайно удалил :furious3: Прямо из hijack мимо корзины

В хайджеке есть backups

[quote=Alex_Goodwin;136983]В хайджеке есть backups[/quote]
Cпасибо, но в backups-пусто. Влезли ко мне в хайджек ,оттуда папку с фиксой удалили и корзину потом естественно очистили>:(

во первых ...hijack файлы не удаляет... а работает с записями в реестре ...
нажмите кнопочку 3 (сверху) ... View the list of backups ....

[quote=Bratez;136510]А когда вначале логи делали, отмечали #3 и #2 - не было пусто? ;)[/quote]

В AVZ на самом деле было пусто. Пришлось еще два раза скачивать, только на второй появилась инфа

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Нажимала-Пусто! Даже на всякий случай еще раз скач. Не хайджек удалил, а пользователь тут один...Подскажите пожалуйста, можно ли исправить ситуацию?

[URL="http://www.computerra.ru/softerra/raznosoft/34460/"]то что вам нужно[/URL]

Искала с помощью: RecoverMyFiles; AcronisRecoveryExpertDeluxe; FileRecover; HandyRecovery - ноль.
Что это за файл вообще был, неизвестно? Хоть что-нибудь...
" O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file) "

вы об этом ? :)
O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)
это просто мусор из реестра ...

Спасибо за быстрый ответ. Его же нужно было профиксить... Я сделала, но увы-удалили. Можете помочь со службами? Некоторые из них не получается отключить. Вхожу в сист. под админом, другие учетные записи-удалены.

какие вам нужны ... остальные отключим ...

>> RemoteRegistry (Remote Registry) - "Не удалось остановить службу на локальный комп. Ошибка 1053: Служба не ответила на запрос своевременно" ?
>> TermService (Terminal Services) - работает/вручную...откл-никак
>> SSDPSRV (SSDP Discovery Service) - не совсем понятно,открытие чего она разрешает
>> Schedule (Task Scheduler) - ее наверное не стоит откл. или приостанавливать?
>> автозапуск программ с CDROM - отключила
>> административный доступ к локальным дискам (C$, D$ ...) - оставить
>> к ПК разрешен доступ анонимного пользователя - где доступ можно отключить?
>> Разрешена отправка приглашений удаленному помошнику - тоже не знаю где :embarasse
В брандмауере удаленного помощника откл. (его включил спец. из местного ин-нета, при установке)

что вам оставить ? остальное отключим скриптом...

Оставить:Task Sheduler ; админ. дост. к лок. дискам. На счет SSDPSRV (SSDP Discovery Service) - посоветуете?