Trojan-Proxy.Win32.Xorpix.ar

Дорогие специалисты - подскажите, пожалуйста.

Касперский указывает на наличие Trojan-Proxy.Win32.Xorpix.ar (система WindowsXP) - но при этом говорит о нем "Не найдено". По запросу "Лечить" он притворяется, что кого-то уничтожает - но вирус всегда на месте - кажется, он пропадает в одном месте и тут же появляется в новом.
Для начала он завесил комп: экран изредка взрагивал и обновлялся, на нажатия мыши не отвечал. Удалось реанимировать систему, загрузив через F8 и выбрав "последняя загрузка с работоспособными параметрами".
На том же компьютере стоит альтернативная Win98.
0) Касперский в 98х ставится не хочет - запускаю экзешник, скачанный из лаборатории, он распаковывает файлы во временную директорию и замолкает.
1) Скачала Cureit! Прогнала из 98 и ИксПи - ничего не нашлось.
2) Stop it! - не нашел ничего
3) AVZ - конкретно вирусов не нашел при сканировании дисков. Про процессы какие-то все время пишет красным цветом - ничего не понятно.

Есть ли какое-нибудь верное средство против этого Ксорпикса?
Спасибо за внимание.

файла virusinfo_syscure.zip у меня почему-то нет

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe,D:\WINDOWS\system32\regwiz.exe,
O4 - HKLM\..\Run: [CertStoreInit] D:\WINDOWS\system32\CertStoreInit
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [startdrv] D:\WINDOWS\Temp\startdrv.exe
[/code]
Выполните скрипт в AVZ:
[code]begin
BC_QrFile('D:\WINDOWS\system32\lich.exe');
BC_QrFile('D:\WINDOWS\system32\regwiz.exe');
BC_QrFile('D:\WINDOWS\Temp\startdrv.exe');
BC_DeleteSvc('lich');
BC_DeleteFile('D:\WINDOWS\system32\lich.exe');
BC_DeleteFile('D:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите карантин согласно приложению 3 правил.

Попробуйте еще раз выполнить лог syscure (п.8 правил).
Сделайте дополнительный лог: [url]http://virusinfo.info/showthread.php?t=10387[/url]
и новый лог HijackThis.

Хайджеком профиксила.
Скрипт в Зацеве выполнили.
Сканирование с целью лечения и сбора данных провведено - cure появился.
(Меня смущает только что Касперского я в это время не отключала - не сказано ведь, что его надо отключить?) :?

уберите карантин(virus.zip ) из темы .... загрузите по ссылке над темой
выполните скрипт ....
[code]
begin
BC_QrFile('d:\WINNT\Temp\startdrv.exe');
BC_QrFile('d:\WINNT\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteFile('d:\WINNT\Temp\startdrv.exe');
BC_DeleteFile('d:\WINNT\SYSTEM32\DRIVERS\RUNTIME2.SYS');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи...

[I]>>уберите карантин(virus.zip ) из темы .... загрузите по ссылке над темой[/I]
[I]Сделала.[/I]

Каранин пришел - пустой, видимо KAV7 активно противодействует лечению/диагностике. :(

Вот я сделала новые логи.

[I]>> карантин пришел пустой[/I]

Тогда я Касперского пока отключу и сделаю все по-новой?
Касперский имеет свою пользу. У меня о нем такое мнение, что он противодействует вторжениям очень неплохо, а вот лечит фиговато. Это вот как раз без него трояны наловились, пока пробовала другой антивирус. Пока почти год Касперский всегда был включен, почти не было проблем с вирусами. И сейчас - он Крпикса поймать не может, но компьютер хотя бы не виснет (наверно, Касперский какие-то его деятельности пресекает).

>>KAV7
KIS7

при отключенном антивирусе выполните скрипт из поста 4 ... повторителоги...

При отключенном антивирусе выполнила скрипт в AVZ из поста 4,
вот логи и после всего этого - запомнила на всякий случай карантин и снова присылаю.
Как только включился Касперский - опять сообщает про присутствие Трояна. :(

в чудеса не хочется верить ....
в SAFE MODE выполните скрипт из поста 4 ....

Сделала в Безопасном режиме - кажется, там больше подозрительных объектов попалось.
Логи я тоже делала в безопасном режиме.
Также запомнила карантин (если нужно, я приложу).
Загружаюсь в обычном режиме - первым делом бежит навстречу Касперский и кричит "У вас объекты! Лечить?" (Как всегда при нажатии на Лечить, он гордо приносит к зубах Ксорпикс, предлагает его удалить, а при попытке удаления тут же его теряет и потом находит в другом месте - и так с ним можно до бесконечности заниматься.) :(

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\system32\_svchost.exe');
DeleteFile('D:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('D:\RECYCLER\S-1-5-21-839522115-838170752-682003330-1003\Dd72.exe');
DeleteFile('D:\Documents and Settings\Olya\Local Settings\Temporary Internet Files\Content.IE5\TB3F51CE\msiesettings[1].exe');
DeleteFile('D:\Documents and Settings\Olya\ie_update3r.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Очистите корзину и временные файлы IE.
Обновите базы KIS и сделайте полную проверку компьютера.
Сделайте новые логи в нормальном режиме.

Ой. Я сейчас все сделаю, только я успела уничтожить KIS и поставить KAV (у меня стрим - а он с KIS, как мне показалось, очень плохо уживается: часто рвется соединение - особенно, когда сам KIS работает в интернете (обновляет базы и пр.) И на некоторые другие сайты заходишь - интернет-эксплорер выкидывает сообщение об ошибке и приходится все закрывать). Сейчас снова пыталась неделю пользоваться KIS, все то же самое по-новой, так что я его деинсталировала. Поставила пробный KAV.

Неважно, пусть будет KAV, главное чтобы базы были свежие.

Скрипт выполнили (в нормальном режиме при выключенном Касперском).
Корзину почистила. Временные файлы удалила с помощью Очистки диска.
Проверка Касперским (базы сегодняшние) дала такие вот результаты (в основном он поймал Карантин AVZ :) , но и Xorpix, как всегда, присутствует :( ):
* удалено: троянская программа Trojan-Downloader.JS.IESlice.c Файл: D:\Documents and Settings\Olya\Local Settings\Temporary Internet Files\Content.IE5\TB3F51CE\index[2].htm//Crypt.DCScript
* удалено: троянская программа Rootkit.Win32.Agent.jp Файл: D:\DOWNLOADS\avz4\AVZ4\Quarantine\2007-10-26\avz00001.dta//PE_Patch
* удалено: троянская программа Rootkit.Win32.Agent.jp Файл: D:\DOWNLOADS\avz4\AVZ4\Quarantine\2007-10-27\avz00001.dta//PE_Patch
* удалено: троянская программа Trojan-Downloader.Win32.Tiny.nj Файл: D:\DOWNLOADS\avz4\AVZ4\Quarantine\2007-10-28\avz00001.dta
* удалено: троянская программа Trojan-Downloader.Win32.Tiny.nj Файл: D:\DOWNLOADS\avz4\AVZ4\Quarantine\2007-10-28\avz00002.dta
* удалено: троянская программа Trojan-Downloader.Win32.Tiny.nj Файл: D:\DOWNLOADS\avz4\AVZ4\Quarantine\2007-10-28\avz00003.dta
* удалено: троянская программа Rootkit.Win32.Agent.jp Файл: D:\DOWNLOADS\avz4\AVZ4\Quarantine\2007-10-28\avz00004.dta//PE_Patch
* удалено: троянская программа Trojan-Downloader.Win32.Tiny.nj Файл: D:\DOWNLOADS\avz4\AVZ4\Quarantine\2007-10-28\avz00005.dta
* обнаружено: троянская программа Trojan-Proxy.Win32.Xorpix.ar Файл: D:\WINDOWS\system32\0007000.exe//#//UPack


Логи сделала в нормальном режиме при выключенном Касперском. В карантине, кажется еще больше строчек.
А не может влиять на ситуацию тот факт, что на той же машине стоит на диске C другая операционка? Может, сразу две надо проверить?

пофиксите....
[code]
O2 - BHO: Flash Module - {C8A3B994-E27A-42f5-A053-C63799E621FB} - pidfenon.dll (file missing)
[/code]
повторите лог HijackThis

[QUOTE]
А не может влиять на ситуацию тот факт, что на той же машине стоит на диске C другая операционка?
[/QUOTE]
А это смотря какая операционка и чем вы в ней занимаетесь. Можно и оттуда логи глянуть. Но Xorpix'a в ней точно нет, ведь проверяли антивирусом весь компьютер.

Фиксю (при выкл. Касперском в нормальном режиме). Перезагружаю. Выключаю Касперского. Делаю лог.
Потом проверила Касперским критические области - все чисто кроме родного вот этого
обнаружено: троянская программа Trojan-Proxy.Win32.Xorpix.ar Файл: D:\WINDOWS\system32\0007000.exe//#//UPack

:)

Вторая операционка - WIN98 (в первом посте кратко упомянута). Там не установлена поддержка сети, используется для работы со старым сканером, у которого нету драйверов под XP.

Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\system32\0007000.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Будет очень странно, если это не поможет...

Глазам не верю.
Я уже не надеядась эту заразу извести, спасибо вам большое.
Проверила Касперским три раза, в т.ч. весь компьютер, показывает - чисто.
Спасибо огромное.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\windows\\system32\\drivers\\runtime2.sys - [B]Rootkit.Win32.Agent.jp[/B] (DrWEB: Trojan.NtRootKit.422)[/LIST][/LIST]