Неуловимый пакостник с pop-up'ами

Завелся у меня на компьютере кто-то зловредный. Реагирует на открытие аккаунта на mail.ru стабильно, иногда меняет баннеры. Соответственно, всплывает всяческая порно-гадость. Откуда - непонятно, привычки шляться шже попало и открывать что ни попадя нет. Вариант - через осла или другие пользователи семьи что-то открыли (не признаются).
Но это уже частности.
Сканировал систему 3мя антивирями: Avast (стоял, не засек ничего), DrWeb(ознакомительный, что-то пытался фиксить с Win32.Hllm.perf.based, наудалял всякие странные файлы, но проблема не решилась), Nod32 (вообще глухо). В один момент пропал рабочий стол, AVZ это пофиксил, но я не разобрался, что же все-таки не так.
В принципе, проблема касается скорее родичей, ибо они все пользую IE, а в Опере-то вся эта пакость не вылазит у меня.

Логи прилагаются.

Пришлите в соответствии с Приложением 2:
[code]C:\windows\system32\dpbmkcey.exe
C:\Documents and Settings\All Users\Documents\Settings\arm32.dll[/code]

И ещё пришлите для базы безопасных:
[code]C:\WINDOWS\system32\amecsa.cpl[/code]

Что у вас за "спасите ремонт" в планировщике?

>>C:\Documents and Settings\All Users\Documents\Settings\arm32.dll - нет такого. Остальные выслал.

>>Что у вас за "спасите ремонт" в планировщике?

Это будильник :)) Александр Пушной - подводка к одноименной передаче.

Раз файла нет, тогда можно сразу пофиксить (что найдётся после AVZ):
[code]O16 - DPF: {04F414E9-E352-4BC3-963D-7BFE5A5F31A9} - http://scripts.dlv4.com/binaries/egaccess4/egaccess4_1064_XP.cab
O16 - DPF: {5E4CD363-CEA5-4992-81FD-1E9C53EC305D} - http://scripts.dlv4.com/binaries/egaccess4/egaccess4_1064_em_XP.cab
O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Documents\Settings\arm32.dll (file missing)[/code]

К сожалению, не совсем понял, что надо сделать :((

AVZ ничего толком не находит.

[QUOTE=ZhuckOFF]К сожалению, не совсем понял, что надо сделать :((
AVZ ничего толком не находит.[/QUOTE]
пофиксить указанные строки нужно с помощью программы HijackThis. как именно - читайте в разделе "Чаво"

[QUOTE=ZhuckOFF]AVZ ничего толком не находит.[/QUOTE]
egaccess4 она уже нашла и прибила. Поэтому первых двух строк может уже не быть.

Не помогло :((

Это так, очистка старого мусора была. Отзывов об активном зловреде от исследователей пока не было.

Можно попробовать стандартный ход:
- запустить AVZ
- включить AVZ Guard
- меню: [b]Файл[/b] - [b]Отложенное удаление файла[/b]
- в поле [b]Имя файла[/b] вставить:
[code]C:\windows\system32\dpbmkcey.exe[/code]
- нажать кнопку [b]Открыть[/b]
- не выходя из AVZ и не выключая AVZ Guard, отправить систему на перезагрузку

После этого повторите логи с пункта 10.

Правда, отсутствие побочных эффектов вроде пропадания рабочего стола я гарантировать не могу. Поэтому подождал бы сведений от аналитиков.

[QUOTE=ZhuckOFF]В принципе, проблема касается скорее родичей, ибо они все пользую IE, а в Опере-то вся эта пакость не вылазит у меня.
[/QUOTE]
закройте оперу, запустите IE, включите противодействие руткитам в программе AVZ, сделайте новые логи исследования AVZ (некоторые трояны загружаются в память только при запуске браузера). будем искать дальше.

Еще раз протестировал с включенным IE. Замечено, что ярлыки плодятся именно во время его работы. И NOD начал материться.

-пофиксить в HijackThis строки:
[code]O4 - HKCU\..\Run: [Instant Access] rundll32.exe EGACCESS4_1064.dll,InstantAccess
O16 - DPF: {04F414E9-E352-4BC3-963D-7BFE5A5F31A9} - http://scripts.dlv4.com/binaries/egaccess4/egaccess4_1064_XP.cab[/code]
-воспользовавшись инструментарием AVZ удалить [code]C:\WINDOWS\system32\egaccess4_1064.dll
C:\WINDOWS\system32\EGACCESS.dll
C:\windows\system32\dpbmkcey.exe[/code]
P.S. перед удалением не забудьте скопировать перечисленные файлы в карантин, и затем прислать согласно [URL="http://virusinfo.info/showthread.php?t=1235"]Правил[/URL]... и ещё, удалите содержимое Temporary Internet Files

вот что говорят про файл C:\windows\system32\dpbmkcey.exe разные антивирусные программы:

Antivirus Version Update Result
AVG 386 09.11.2006 Win32/CryptExe
CAT-QuickHeal 8.00 09.11.2006 (Suspicious) - DNAScan
Panda 9.0.0.4 09.11.2006 Suspicious file

Архив закачал, файлы на убиение поставил.
Я еще вернусь :))

[QUOTE=ZhuckOFF]Архив закачал, файлы на убиение поставил.
Я еще вернусь :))[/QUOTE]
-ага, но обязательно со свежими логами :)

/me рычит

Не помогло :(( Опять те же чудеса.

Вновь все просканировал...

[QUOTE=ZhuckOFF]/me рычит
Не помогло :(( Опять те же чудеса.
Вновь все просканировал...[/QUOTE]
пришлите файл C:\WINDOWS\system32\drivers\amon.sys

Закачал.

[QUOTE=ZhuckOFF]Закачал.[/QUOTE]
это файл от NOD32 (видимо вы его поставили на днях).

файлы
C:\WINDOWS\system32\egaccess4_1064.dll
C:\WINDOWS\system32\EGACCESS.dll
C:\windows\system32\dpbmkcey.exe
снова ставьте на убиение.

Вопрос.
Я их убиваю... И все ведь повторилось.
Я, конечно, еще раз попробую и логи пришлю :))

Не существует их уже...

Как это? [b]c:\windows\system32\dpbmkcey.exe[/b] в логе AVZ первым в списке висит. Как активный процесс.

Имеем дело с юзермодным руткитом.

Процесс [b]dpbmkcey.exe[/b] маскировал себя и свой ключ автозапуска в HKLM\...\Run.

Ну все, вроде излечился.
Большое спасибо всем за помощь.
Огромная благодарность Xen'у за его утилиту - она-то пакостника и извловила.
Прилагаю новые логи.

Ну и вопросец. Какие-то зловредные последствия от этой скотины могут быть?

Вот это пофиксите:
[code]O16 - DPF: {04F414E9-E352-4BC3-963D-7BFE5A5F31A9} - http://scripts.dlv4.com/binaries/egaccess4/egaccess4_1064_XP.cab[/code]

А это откуда?
[code]O14 - IERESET.INF: START_PAGE_URL=http://dafna.moscow.ximxim.com/[/code]
Если не знаете, что за URL, то тоже пофиксите.

А что это за скотина была, непонятно. Что-то новое. Может, Олег поисследует? Или кто-нибудь скажет, как она сейчас обзывается?