Backdoor.Win32.Hupidon.agv

После включения компьютера антивирус находит в ОП Backdoor.Win32.Hupidon.agv. Удаляет, перезагружается и опять находит.

пофиксите ...
[code]
O2 - BHO: Info cache - {385AB8C6-FB22-4D17-8834-064E2BA0A6F0} - C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll (file missing)
[/code]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll','');
QuarantineFile('MountMsg.sys','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
[U]обновите базы AVZ[/U]
повторите логи...

В дополнение: yа время выполнения скрипта от [b]V_Bond[/b], отключитесь от сети и отключите антивирус Касперского.

Все сделала, но проблема не исчезла. Антивирус обнаруживает тот же троян в C:\Windows\system32\cscript.dll/ Удаляет файл, а после перезагрузки все снова.

[QUOTE=Tasha9;135892]Все сделала, но проблема не исчезла.[/QUOTE]
пока еще ничего ...
карантин не отправлен ...
логи не сделаны ...

Пардон, не все прочитала. Вот логи. Карантин уже выслала

По результатам проверки на Virustotal C:\WINDOWS\system32\Drivers\MountMsg.sys - остается под подозрением. [code]Avast 4.7.1043.0 2007.09.18 Win32:Agent-IWC[/code]Пока подождите.

Сделайте [URL="http://virusinfo.info/showthread.php?t=10387"]дополнительный лог[/URL].

Это ноутбук, и он отказывается грузиться в безопасном режиме. До загрузки ОС есть только сл. возможности: F2 -BIOS, F10 -DOS, F12 - загрузка с использованием LAN и ESC -выбор загрузочного устройства (CD-ROm, Floppy и др.). F8 в этом меню отсутствует.
PS: ноут довольно старый

[QUOTE]F8 в этом меню отсутствует.[/QUOTE]
Оно и не должно там присутствовать. Жмите его все равно.
Ну если никак, сделайте этот доп. лог в обычном режиме.

Дополнительный лог в безопасносм режиме

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\cscript.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил..

mszstb.sys поищите через AVZ.

Лог неправильный.
Видимо забыли переключить на "Все службы и драйверы".

C:\WINDOWS\system32\Drivers\MountMsg.sys - Trojan.Win32.Agent.bok (по классификации Касперского) Соответственно, программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\Drivers\MountMsg.sys');
BC_deleteFile('C:\WINDOWS\system32\Drivers\MountMsg.sys');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, сделайте новые логи.

[SIZE=3][FONT=Times New Roman]To V_Bond: скрипт выполнила, карантин отправила.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]To PavelA: AVZ не находит файл [/FONT][/SIZE][COLOR=black][FONT=Verdana]mszstb.sys.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]To[/FONT][/COLOR][COLOR=black][/COLOR][COLOR=black][FONT=Verdana]Numb[/FONT][/COLOR][COLOR=black][FONT=Verdana]: скрипт выполнила, новые логии прикладываю.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]To[/FONT][/COLOR][COLOR=black][/COLOR][COLOR=black][FONT=Verdana]Bratez[/FONT][/COLOR][COLOR=black][FONT=Verdana]: дополнительный лог пока не делала, может обычных хватит. [/FONT][/COLOR]

Не-а не хватит. Нужен, очень нужен доп. лог.

дополнительный лог

вот он

Выполнить скрипт в Safe Mode:

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('\??\C:\WINDOWS\system32\drivers\acpidisk.sys','');
QuarantineFile('PartMsg.sys','');
DeleteFile('\??\C:\WINDOWS\system32\drivers\acpidisk.sys');
DeleteFile('MountMsg.sys');
DeleteFile('PartMsg.sys');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

Поискать на диске через AVZ след. наборчик:
[CODE]
User>\Application Data\Microsoft\Media Player\sqmnoopt01.sqm
<User>\Application Data\Microsoft\Media Player\sqmnoopt02.sqm
<Temp>\dodolook017.exe
<System>\mprmsgse.axz
<System>\mscpx32r.det
<Temp>\~my7.tmp[/CODE]
Если найдутся добавить в карантин и загрузить.

Troj/Agent-FXI - так его называет sophos [url]http://www.sophos.com/security/analyses/trojagentfxi.html[/url]

После перезагрузки прислать карантин и сделать еще раз этот же лог.

карантин оказался пустым. А новый лог - вот

еще разок в Safe Mode:

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\drivers\acpidisk.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\acpidisk.sys');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

Все сделала. В карантине пусто. Касперский по-прежнему обнаруживает троян

C:\WINDOWS\system32\cscript.dll [b]Backdoor.Win32.Hupigon.aqy[/b]
еще такой скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\cscript.dll');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ...

скрипты выполнила. Вот логи

Нужен еще разок доп. лог.
Плюс надо закрывать дырки в системе.

Вот лог. Какие дырки и как их закрыть?

Лог последний чистый.
Что из этого не используется? Можно написать скрипт чтобы закрыть, либо делайте сами.

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Спасибо за помощь. Со службами я сама справлюсь. А может еще объясните, как этот cscript в ОП загружался? Откуда у него ноги растут?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\cscript.dll - [B]Backdoor.Win32.Hupigon.aqy[/B] (DrWEB: Trojan.DownLoader.33452)[*] c:\\windows\\system32\\drivers\\mountmsg.sys - [B]Trojan.Win32.Agent.bok[/B] (DrWEB: Trojan.DownLoad.3908)[/LIST][/LIST]