неубиваемый msftp.dll

Avira AntiVir находит и убивает трояны TR/Dldr.Small.hwc(msftp.dll) в system32 и в Documents and Settings.А после перезагрузки они(msftp.dll) появляются на тех же местах.Что делать?

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('sysfldr.dll','');
QuarantineFile('C:\WINDOWS\RTHDCPL.EXE','');
QuarantineFile('C:\WINDOWS\mmhren1.exe','');
QuarantineFile('Qlse802mmt.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Flr18.sys','');
QuarantineFile('C:\WINDOWS\system32\LogCrypt.dll','');
QuarantineFile('c:\windows\system32\drivers\spool.exe','');
QuarantineFile('c:\documents and settings\nestor\local settings\application data\cftmon.exe','');
DeleteFile('c:\documents and settings\nestor\local settings\application data\cftmon.exe');
DeleteFile('c:\windows\system32\drivers\spool.exe');
DeleteFile('C:\WINDOWS\mmhren1.exe');
DeleteFile('sysfldr.dll');
BC_Activate;
BC_ImportALL;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=17853[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]
O4 - HKLM\..\Run: [autoload] C:\Documents and Settings\nestor\Local Settings\Application Data\cftmon.exe
O4 - HKLM\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spool.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\nestor\Local Settings\Application Data\cftmon.exе
O4 - HKCU\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spool.exe
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)[/CODE]

Повторите логи

Большое спасибо! К сожалению таких строк в проге нет(есть похожие). правда при перезагрузке msftp.dll не появились! сканирую - может убились уже?

Логи повторите.

вот новые логи

Где вот?

вот логи

cftmon.exe_, spool.exe_ - [b]Trojan-Downloader.Win32.Small.iih[/b],
LogCrypt.dll - [b]Trojan.Win32.Agent.eub[/b]
Выполните в АВЗ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Flr18', 4);
StopService('Flr18');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Flr18.sys');
DeleteService('Flr18');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Профиксите
[quote]O20 - Winlogon Notify: sysfldr - C:\WINDOWS\[/quote]
Повторите логи.

falar portuges..?

[quote=nestorsax;186205]falar portuges..?[/quote]
Не, мы на португальском нихт ферштейн ;).

стало намного лучше! я уж думал придется сносить винду

[size="1"][color="#666686"][B][I]Добавлено через 42 секунды[/I][/B][/color][/size]

спасибо!

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

теперь наверно нужно включить восстановление системы и контрольную точку

Нет, теперь логи надо сделать!

Нет, сначала контрольный выстрел, то есть, новые логи.

новые логи

Логами не ошиблись случайно? Или скрипт в [url]http://virusinfo.info/showpost.php?p=186201&postcount=8[/url] не выполняли ?

выполнил. потом автоматичеки перегрузился комп

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

а что именно не так?

а в логах те же гадости остались, наверно перепутали когда загружали.

нет. это именно те логи(предыдущие я специально удалил чтоб не перепутать). может имеет смысл ещё раз выполнить скрипт?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

на них же дата сознания есть

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

делаю новые логи

Давайте так.
Вначале профиксите

[quote]O20 - Winlogon Notify: LogCrypt - C:\WINDOWS\SYSTEM32\LogCrypt.dll[/quote]
Затем в АВЗ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Flr18', 4);
StopService('Flr18');
DeleteFile('C:\WINDOWS\System32\Drivers\Flr18.sys');
DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
DeleteFile('LogCrypt.dll');
BC_DeleteSvc('Flr18');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Повторите логи.

Остановка служб Windows с помощью [B]HjJackThis[/B]

Для того чтобы пофиксить строку начинающуюся с [COLOR=red][B]O23 [/B][/COLOR]надо:
1. Запустить HijackThis.
2. Нажать кнопку [B]Open The Misc Tools section[/B]
3. Нажать кнопку [B]Delete an NT Service[/B]
4. В открывшемся диалоге ввести название службы
[B]aspi113210[/B]
5.Нажать кнопку [B]OK[/B]
[FONT=Arial Black]а это всё надо делать?[/FONT]

Так Вам, что кто-то рекомендовал это? В фиксах нет строчки начинающейся с [b]023[/b]. Так что не нужно.

или только галку поставить и перегрузиться?

[size="1"][color="#666686"][B][I]Добавлено через 32 секунды[/I][/B][/color][/size]

ок

Да.

думаю через полчаса будут логи.

Хорошо, будем ждать.

8) дааа. не так то просто всё это!

В смысле? Что не просто?

лечить систему.

Да, не хотят уходить. Попробуйте выполнить скрипт АВЗ из поста №19 в безопасном режиме.
Ну и логи после повторите.

а что за пост №19 ?

[quote=nestorsax;186370]а что за пост №19 ?[/quote][url]http://virusinfo.info/showpost.php?p=186309&postcount=19[/url] :D

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

у вас случайно какое- нибудь "анти" работает в фоновом режиме ? Нужно всё отключить и только потом приниматься за лечение.

:D:D:D понял

[size="1"][color="#666686"][B][I]Добавлено через 41 минуту[/I][/B][/color][/size]

выполнил скрипт в безопасном режиме. делаю логи

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

антивирусник вообще деинсталлировал

ну после такого вирус уж точно не должен выжить!

Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: LogCrypt - C:\WINDOWS\SYSTEM32\LogCrypt.dll [/CODE]

[size="1"][color="#666686"][B][I]Добавлено через 32 секунды[/I][/B][/color][/size]

.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('Flr18');
SetServiceStart('Flr18', 4);
DeleteFile('C:\WINDOWS\system32\Drivers\Flr18.sys');
DeleteFile('LogCrypt.dll');
DeleteService('Flr18');
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Flr18.sys');
BC_DeleteFile('LogCrypt.dll');
BC_DeleteSvc('Flr18');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Flr18.sys');
BC_DeleteFile('LogCrypt.dll');
BC_DeleteSvc('Flr18');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

и затем...

Поищите при помощи AVZ [b]ALCMTR.EXE[/b] и пришлите по правилам

Повторите лог virusinfo_syscheck + HJT

понял

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

ALCMTR.EXE а что это?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

ALCMTR.EXE это вставить в протокол?

Скорее это кусок звукового драйвера но необходимо убедиться(пришлите как карантин)

находятся 2 файла C:\Program Files\Realtek\InstallShield\Alcmtr.exe;C:\WINDOWS\ALCMTR.EXE но не копируются в карантин

Значит проходит по базе безопасных

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

C:\WINDOWS\ ALCMTR.EXE - а вот этот интересен попробуйте скопировать вручную