Не удаляется троян Trojan-Mailfinder.Win32.Agent.wd

Printable View

23.01.2009, 10:12
Fluncky

Не удаляется троян Trojan-Mailfinder.Win32.Agent.wd

Касперский при загрузке компьютера выдает найдено: троянская программа Trojan-Mailfinder.Win32.Agent.wd Файл: C:\DOCUME~1\User\LOCALS~1\Temp\rdl4F.tmp. Нажимаю удалить, файл не найден. Также при чистке папки Temp не могу удалить файл temp/1/CAP0WJHL.
23.01.2009, 10:23
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
23.01.2009, 11:46
Fluncky

логи повторил, сообщение о вирусе больше не было. В папке Temp все по-старому. Пришел ли карантин, у меня произошла ошибка при закачке?
23.01.2009, 11:53
Гриша

Этот файл mpfilt.sys пришлите согласно приложению 2 правил...
23.01.2009, 11:58
Fluncky

[SIZE=2][COLOR=#ff0000][SIZE=2][COLOR=#ff0000][SIZE=2][COLOR=#ff0000][SIZE=2][COLOR=#ff0000]Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\mpfilt.sys)
Карантин с использованием прямого чтения - ошибка
[/COLOR][/SIZE][/COLOR][/SIZE][SIZE=2][/SIZE][/COLOR][/SIZE][/COLOR][/SIZE]
23.01.2009, 12:03
Гриша

Ручками его там посмотрите, найдете в архив с паролем "virus" и прислать по правилам...
23.01.2009, 12:16
Fluncky

отправил.
[COLOR=black]в папке C:\WINDOWS\system32\ файла не было[/COLOR]
файл из папки C:\WINDOWS\system32\drivers\
23.01.2009, 12:44
Гриша

Файл чистый...
23.01.2009, 12:48
Fluncky

А по поводу файла temp/1/CAP0WJHL. не заморачиваться?
23.01.2009, 12:50
Гриша

Пришлите его в архиве с паролем "virus"...
23.01.2009, 12:52
Fluncky

система пишет, файл не найден. Не скопировать, не удалить
23.01.2009, 12:54
Гриша

В безопасном режиме можете его удалить?
23.01.2009, 13:01
Fluncky

Та же песня
23.01.2009, 13:12
Гриша

Точный путь до него дайте...
23.01.2009, 13:14
Fluncky

C:\Documents and Settings\User\Local Settings\Temp\1\CAP0WJHL. имя файла именно с точкой на конце
23.01.2009, 13:17
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\User\Local Settings\Temp\1\CAP0WJHL.');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
SaveLog (GetAVZDirectory+'log.txt');
RebootWindows(true);
end.[/CODE]

Прикрепите к сообщению log.txt...
23.01.2009, 13:24
Fluncky

все чисто
23.01.2009, 13:27
Гриша

Судя по логу должен удалиться был, вы что скажете?
23.01.2009, 13:37
Fluncky

файл удалился благополучно, папка в которой он лежал тоже

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

но появились два других или я их не замечал
C:\Documents and Settings\User\Local Settings\Temp\fb_3192.evn
C:\Documents and Settings\User\Local Settings\Temp\fb_3192.lck
они также не удаляются

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

кстати созданы сегоднешним числом, разница в выполнении с предыдущим скриптом ровно перезагрузка
23.01.2009, 13:41
Гриша

Файлы там постоянно создаются...
23.01.2009, 13:44
Fluncky

спасибо
22.02.2009, 10:11
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\microsoft common\\svchost.exe - [B]Worm.Win32.AutoRun.vnc[/B][/LIST][/LIST]