F-Secure on line scaner нашел Malware.BHNJ и Trojan-Spy.Win32.Webmoner.fi

Проверил копьютер он-лайн сканером F-Secure. Антивирус нашел 2 вируса: [B]Malware.BHNJ[/B] и [B]Trojan-Spy.Win32.Webmoner.fi[/B] , один из них, как я понимаю, - троян, крадущий пароли. Нортон, который постоянно установлен на компьютере, как видно, все это время "ловил мышей". После этого шокирующего открытия проделал все процедуры, описанные на страничке "[B]Правила! Читать перед запросом о помощи![/B]". Но вот, что напрягает. На сайте SpyLog не могу обнаружить в своем эккаунте свои сервисы, такое впечатление, что сервисы управления счетчиками/статистикой моих сайтов перемещены из эккаунта неизвестно куда. Это косвенно указывает на то, что с паролями у меня не все в порядке. Пока ситуацию с другими паролями/сайтами не проверял, хочу вначале навести порядок в компьютере.

P.S. Прикрепил лог F-Secure

см. сабж.

Может, они дублируют предыдущие логи, а может быть и нет. Прикрепил на всякий случай. Кажется один заархивированный лог мог быть затерт (записан поверх созданного ранее), т.к. одно из сканирований было повторено. Поэтому прикрепил файлы в формате .txt для страховки.

1. Выполните скрип, аосле перезагрузки карантин по правилам.
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\update.exe','');
QuarantineFile('C:\WINDOWS\AUTOLO~1\AL2DLL.dll','');
QuarantineFile('c:\windows\system32\hddsvc.exe','');
QuarantineFile('c:\documents and settings\admin\Рабочий стол\christmas.exe','');
DeleteFile('C:\WINDOWS\update.exe');
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\update.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Спасибо. Скрипт выполнил. Но, кажется, скрипт нашел только 2 файла: christmas.exe и AL2DLL.dll из перечисленных в теле скрипта. Остальные не найдены. Архив с карантином посылаю через форму на сайте.

P.S. Не знаю, важно ли это, но файлов update.exe полно в других местах на C: (а не в том, которое было указано в скрипте)

в карантине 2 файла .... оба чистые ...
C:\WINDOWS\AUTOLO~1\AL2DLL.dll
c:\documents and settings\admin\Рабочий стол\christmas.exe ...
пришлите update.exe согласно правилам .... повторите логи ...

Высылаю карантин. Кстати, было найдено огромное количество файлов update.exe на С: и несколько на D:. Но вот, что интересно, ни один из найденных на С: почемуто в архиве не сохранился. Поэтому в архиве только файлы с D:

Поэтому прикрепляю лог поиска (Протокол.txt), чтобы было все понятно. Кстати, Вы имели в виду этот лог, когда говорили о логах? Или надо было прислать какие то другие логи?

эти логи мы не понимаем :)логи нужны те, которые из [url]http://virusinfo.info/showthread.php?t=1235[/url]

Сейчас буду делать логи.

А пока хотел спросить вот еще про что. После того, как делал предыдущие логи и запускал с этой целью avz.exe и HijackThis.exe, теперь при каждой загрузке системы появляется сообщение: "Найдено новое устройство", хотя никакое новое железо не устанавливал.

Когда смотришь это "неизвестное устройство" через Диспетчер устройств, то в Сведениях видно такое:

Код экземпляра устройства: ROOT\LEGACY_UZE5NTEX\0000
Флаги Devnode:
DN_ROOT_ENUMERATED
DN_HAS_PROBLEM
DN_DISABLEABLE
DN_NT_ENUMERATOR
DN_NT_DRIVER

и т.п.

Это может иметь какое то отношение к проблеме?

Добавлены логи:

интересует именно C:\WINDOWS\update.exe ..

Это значит, надо этот файл прислать? Но если его в папке WINDOWS нет? Никакие средства просмотра такого файла в папке WINDOWS не обнаруживают (нет там такого файла C:\WINDOWS\update.exe), в том числе и утилита avz.exe его тоже не видит. Что она видит на диске (при поиске файла update.exe) я прислал раньше, эта информация содержится в файле Протокол.txt (см. выше).

Или этот файл присутствует, но его не видно? Это вы имели в виду? Как же тогда его "достать"?

значит его уже нет ..... (удален) ...
больше ничего подозрительного ...

А почему тогда на диске утилита видит какие то "клоны" этого файла? Что она видит на диске (при поиске файла update.exe) я прислал раньше, эта информация содержится в прикрепленном файле Протокол.txt (см. выше).

это не клоны это совсем разные файлы .... просто с тем же именем ... те что вы присылали чистые ...( все четыре разные)

Большое спасибо за помощь.

Просто, как то не понятно, что это за файлы (зафиксированные в Протокол.txt):

C:\WINDOWS\$hf_mig$\KB901017\update\update.exe
C:\WINDOWS\$hf_mig$\KB890859\update\update.exe
C:\WINDOWS\$hf_mig$\KB894391\update\update.exe
C:\WINDOWS\$hf_mig$\KB905749\update\update.exe
C:\WINDOWS\$hf_mig$\KB896428\update\update.exe
C:\WINDOWS\$hf_mig$\KB900725\update\update.exe
C:\WINDOWS\$hf_mig$\KB901214\update\update.exe
C:\WINDOWS\$hf_mig$\KB896358\update\update.exe
C:\WINDOWS\$hf_mig$\KB890046\update\update.exe
C:\WINDOWS\$hf_mig$\KB898461\update\update.exe
C:\WINDOWS\$hf_mig$\KB920670\update\update.exe
.......................................................................

и т.д...

Значит, уже все нормально? Больше никаких подозрительных файлов нет и можно считать, что проблема устранена и в компьютере "все чисто"?

это обновления windows ....

Спасибо!

Значит, больше ничего делать не надо?

можно закрыть лишнее...
из этого списка ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

можно готовиться к обороне : Отключить что не нужно:
[code]
Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику[/code]
, не загружаться под админом, гулять по инету с файрвоксом + noscript...

А как отключить ненужные службы?

Это можно сделать через утилиту avz.exe? Или как то иначе?

можно по разному :) быстрее через лог , который сделал. нажимаешь на линки потенциальных уязвимостей - и скрипт готов.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

затем выполнить скрипт остаётся в авз .

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]