странности после удаления trojan.pws.goldspy

Здравствуйте ! Вчера Cure It во время проверки в безопаснм режиме нашел trojan.pws.goldspy в двух местах : экзешник в Local Settings/Temporary.../Content.IE5, который Cure It удалил и
в c:/winnt/system32/msvcrl.dll, про который CureIt написал, что "будет исцелен". После перезагрузки я заметила странное поведение мыши. Когда ее указатель в виде стрелки, рядом со стрелкой мерцающие песочные часы, т.е. они практически не исчезают, очень напрягает. При вызове Диспетчера задач поверх него всплывает сообщение:"Приложению не удалось запуститься, т.к. msvcrl.dll не был найден. Повторная установка приложения может исправить эту проблему". То же самое сообщение появляется если нажать на значок Internet Explorer на рабочем столе. Но я обычно не пользуюсь IE, а пользуюсь MyIE, которое работает нормально. В Диспетчере задач буквально мечется со строки на строку процесс iexplore.exe из System размером 760 кБ. Виндоус заметно стал притормаживать, но не критично. Заранее большое спасибо за помощь !!!

Это становиться уже совсем интересно , Ха Ха... :)
Попробуем так :
Те файлы , которые попадут в карантин , пришлите по правилам .
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINNT\system32\svchost.exe:exe.exe:$DATA','');
QuarantineFile('C:\WINNT\system32\thumbvw.dll','');
QuarantineFile('C:\WINNT\system32\testtestt.exe','');
QuarantineFile('C:\WINNT\bdoscandel.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll','');
QuarantineFile('iexplore.exe','');
RebootWindows(true);
end.
[/code]

Эти файлы AVZ не нашел даже по метке:
[QUOTE]
QuarantineFile('C:\WINNT\system32\svchost.exe:exe.exe:$DATA','');
QuarantineFile('C:\WINNT\system32\thumbvw.dll','');
QuarantineFile('C:\WINNT\system32\testtestt.exe','');
QuarantineFile('C:\WINNT\bdoscandel.exe','');
[/QUOTE]
Эти выслала по e-mail, т.к. страничка для их загрузки не открывалась: "Сервер не найден"
[CODE]
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll','');
QuarantineFile('iexplore.exe','')
[/CODE]
iexplore.exe был найден в двух дирректориях - в Program Files (этот удалось выслать) и еще в c:winnt/system32/dllcache/iexplore.exe
С последним что-то странное, добавляю его в карантин, но в просмотре карантина его нет. Поэтому отправить не удалось.

В ответ на мой e-mail c вложенным архивом получила ответ:
Вам не резрешено отправлять сообщения в этот список рассылки, и ваше
сообщение было автоматически отклонено. Если вы считаете это ошибкой,
обратитесь к администратору списка рассылки по адресу
[email][email protected][/email].

Карантин нужно высылать в соответствии с приложением 2 правил обращения, выполнять с пятого пункта. ссылка на вашу тему - [url]http://virusinfo.info/showthread.php?t=7521[/url]

[QUOTE]Карантин нужно высылать в соответствии с приложением 2 правил обращения, выполнять с пятого пункта. ссылка на вашу тему -[/QUOTE]
Я так и сделала, но дело в том, что у меня не открывается эта страничка
[url]http://virusinfo.info/upload_virus.php[/url]
Тогда, как указанно на крайний случай, я отправила по почте, но все вернулось назад.
P.S. Попробовала еще раз загрузить страничку, теперь нормально все отправилось.
Еще хочу добавить, что запустила сейчас Ad-Aware и через минуту вылетел синий экран с текстом, что-то про память, испугалась, нажала reset.
Скажите, а восстановление системы уже можно включать обратно ?

После скрипта еще раз отправила файл из Карантина
Файл сохранён как 070116_160116_virus2_45ad4b2c7bcf7.zip
Размер файла 12500
MD5 f069a42d452d524073ae63ddf3a3dfa1

C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll по классификации DrWeb является BackDoor.Uragan.origin
- скачайте [URL="ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe"]утилиту DrWebCureIT![/URL] и пролечите ПК, лучше в Safe Mode (Безопасный режим, F8 до загрузки Windows)

[QUOTE=Alex Plutoff;91335]C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll по классификации DrWeb является BackDoor.Uragan.origin
- скачайте [URL="ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe"]утилиту DrWebCureIT![/URL] и пролечите ПК, лучше в Safe Mode (Безопасный режим, F8 до загрузки Windows)[/QUOTE]

не пойдёт, *.origin только в beta, с куритом надо ждать пока добавят.

[quote=Shu_b;91344]не пойдёт, *.origin только в beta, с куритом надо ждать пока добавят.[/quote]
- а если не в моготу тогда можно средствами нынешнего релиза всё же попробовать, там эвристик как будто что-то видит: [quote]winsys2f.dll packed by UPACK
В файле >winsys2f.dll возможно обнаружен вирус BACKDOOR.Trojan[/quote]
...ну или ручками, с помощью инструментария AVZ

Да тут, похоже сразу 2 руткита. Сейчас попробую написать инструкцию для лечения

[quote=Alex Plutoff;91335]C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll по классификации DrWeb является BackDoor.Uragan.origin
- скачайте [URL="ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe"]утилиту DrWebCureIT![/URL] и пролечите ПК, лучше в Safe Mode (Безопасный режим, F8 до загрузки Windows)[/quote]

Так я это и проделала в самом начале (см. мой post №1), в безопасном же режиме после исцеления msvcrl.dll сразу появились мерцающие песочные часы возле стрелки. После чего все странности и начались. А вирус был trojan.pws.goldspy, причем нашел его Cure It от 15.01.07 (поначалу я запустила версию от 12.01.07, которая этот trojan не обнаружила). Никаких Backdoor CureIt не нашел :?

Olha , а что со скриптом , который Гeсер предложил ? Выполнила ? где новые логи после операции и лог boot_clr.log?

[QUOTE]
Выполнить скрипт. После перегрузки повторить логи и добавить boot_clr.log который появится в директории АВЗ
[/QUOTE]
[B]Geser[/B], большое спасибо ! Приду вечером с работы, попробую.
А логи сохранятся в директории АВЗ под новым именем или мне надо удалить старые ?
А что же делать с iexplore.exe, который так и остался бегать со строки на строку с бешенной скоростью в Диспетчере , а также с часами у стрелки мыши ?
И еще, как это могло попасть - с почтой или торрентами ? Мне вообще не приходит спам, даже не представляю, откуда столько гадости.

[quote=drongo;91374]Olha , а что со скриптом , который Гeсер предложил ? Выполнила ? где новые логи после операции и лог boot_clr.log?[/quote]
Смогу только после 19.00 :embarasse

[quote=Olha]как это могло попасть - с почтой или торрентами ?[/quote]
Local Settings/Temporary.../Content.IE5 - это кэш Internet Explorer. Значит, на какой-то web-странице подцепили.

Вот подсказали, видимо, более правильный скрипт

[CODE]begin
// Нейтрализация руткитов
SearchRootkit(true, true);
// Активация AVZGuard
SetAVZGuardStatus(True);
// Отложенное удаление файлов
DeleteFile('c:\winnt\system32\svchost.exe:exe.exe:$DATA');
DeleteFile('c:\winnt\system32\svchost.exe:exe.exe');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\winsys2f.dll');
// Импорт списка удаленных файлов в настройки Boot Cleaner
BC_ImportDeletedList;
// Чистка ссылок на удаленные файлы
ExecuteSysClean;
//Удаление драйвера PE386
BC_DeleteSvc('PE386');
// Активация BootCleaner и перезагрузка
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]

[QUOTE]Вот подсказали, видимо, более правильный скрипт[/QUOTE]
Спасибо ! Только подскажите пожалуйста (чтобы чего не того не сделала), после скрипта и перезагрузки для получения логов, мне надо опять сделать Скрипт лечения и карантина и т.п. с пункта 8 ? Или эти логи в директории AVZ изменятся автоматически ?

[quote=Olha;91403]Спасибо ! Только подскажите пожалуйста (чтобы чего не того не сделала), после скрипта и перезагрузки для получения логов, мне надо опять сделать Скрипт лечения и карантина и т.п. с пункта 8 ? Или эти логи в директории AVZ изменятся автоматически ?[/quote]
Нужно новые сделать самой :)И прикрепить новые нужно , старые мы уже видели :)

Скрипт выполнила. После перзагрузки песочные часы у стрелки пропали, и процесс iexplore.exe из Диспетчера - тоже. Но при нажатии на значок IE на рабочем столе выдает ту же ошибку, что не найдено msvcrl.dll
Прикрепляю логи

Странно , часть выжили :(

Давайте ещё разок :)
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
DeleteFile('C:\Windows\System32\taskdir.dll ');
DeleteFile('C:\WINNT\system32\testtestt.exe');
DeleteFile('C:\WINNT\system32\taskdir.exe');
DeleteFile('C:\WINNT\bdoscandel.exe');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

msvcrl.dll -часть гадости , хорошо что её не находит.


Попробуйте сделать так :
авз - файл - восстановление системы -выбирите пункты : 6,9 и перегрузитесь .
потом тоже самое пункты 2,3,4,5 .
Затем я бы посоветовал чистилку реестра : tune -up utilities
[url]http://www.tune-up.com/download/getfile.php?file=tu2007trial&source=tuneup[/url] установить из под админа .
После её установки, появиться ярлык 1Click Maintenance , нажать на него из под админа , а затем на все проблемы что найдёт , нажать "correct" . запустить заново ,если скажет что не всё . затем тоже самое из под пользователя . Перегрузиться .

Сделайте новые логи , будем думать дальше .

Ой, а внизу вы еще что-то приписали, а я уже сделала только со скриптом, пока эти логи высылаю.

[QUOTE]Затем я бы посоветовал чистилку реестра : tune -up utilities
[url]http://www.tune-up.com/download/getf...&source=tuneup[/url] установить из под админа .[/QUOTE]
Ой, боюсь, что я не смогу это сама сделать. Я сразу под своим именем захожу, без запросов. Никогда через Админа не заходила.

Пофиксить в Hijack This:
[code]
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing)
[/code]
Насчёт обороны компьютера , динозвра -2004-2005 года удалить и поставить что-то более современное .Он неизложен .Чёрную метку получил ;D Целый звериниц , однако :)
P.S. Ну и ещё разок логи , после чистки tune-up.

[quote=Olha;91505]Ой, боюсь, что я не смогу это сама сделать. Я сразу под своим именем захожу, без запросов. Никогда через Админа не заходила.[/quote]
Запускайте как обычно . :)
Пардон ,но могу вас заверить вы и так работаете из под администратора. AVZ доложил ;D Просто login без пароля у вас.
P.S. Tак не зарекомендуется работать за компом ;)
Это к лечению не относиться , это больше к профилактике . То же самое , как чистите зубы 2 раза в день . Pаботать из под гостя , особенно в инете , а устанавливать программы , менять настройки системы- из под админа .
Вот тут обязательно прочитайте и сделайте, чтобы из под гостя работать :
[url]http://www.microsoft.com/rus/athome/security/online/logoff_admin_account.mspx[/url]

Прикреплляю новые логи после ваших рекомендаций.
IE выдает все ту же ошибку, и в Моем компьютере появилось
Веб-папки Системная папка
Так оставить ?
[QUOTE]Насчёт обороны компьютера , динозвра -2004-2005 года удалить и поставить что-то более современное [/QUOTE]
Простите за невежество - динозавр - это McAfee ?

Да, макафи старенький никуда не годен . Да и новый мне кажется не справился бы с вашим зоопарком ;D
вот осталось пофиксить в hijack this :

[code]
O20 - Winlogon Notify: winsys2freg - C:\WINNT\
[/code]
Сделайте перегрузку Windows !

Даже не знаю, что ещё посоветовать . Tune Up не помогла , это плохо .
Руками искать удалённо достаточно хлопотное дело. Нужно собственно поискать всё что найдётся в реестре с именем которое выплывает . Запостить сюда эти ключи .
Есть идея полегче ,если Windows лицензионная -можно легко обновиться до IE7 , лично мне он не нравиться , но вашу проблему это действие должно решить .

[QUOTE]
Да, макафи старенький никуда не годен . Да и новый мне кажется не справился бы с вашим зоопарком ;D
[/QUOTE]
Даже не думала, что настолько серьезно, ведь и AdAware, и CureIt нашли совсем чуть-чуть. Видимо, глубоко зараза закралась. Жаль, что неизвестно откуда.
А восстановление системы уже можно включить ???
[QUOTE]
вот осталось пофиксить в hijack this :
[/QUOTE]
Сделано.
[QUOTE]
Руками искать удалённо достаточно хлопотное дело. Нужно собственно поискать всё что найдётся в реестре с именем которое выплывает . Запостить сюда эти ключи .
[/QUOTE]
Открыть реестр через regedit, и в "найти" набить этот файл ? Или как-то иначе ?
[QUOTE]
Есть идея полегче ,если Windows лицензионная -можно легко обновиться до IE7 , лично мне он не нравиться , но вашу проблему это действие должно решить .
[/QUOTE]
Скорее всего нелицензионная. Переустановка Windows не решит проблемы ? А кроме того, что у меня не запускается IE (в принципе я и раньше им не пользовалась, он с самого начала глючил, все время закрывался) у меня осталась какая-нибудь пакость в системе ?
В любом случае просто огромнейшее вам спасибо за помощь и потраченное на меня время :* :)

"Открыть реестр через regedit, и в "найти" набить этот файл ? "
Всё верно :)Уже не много осталось. Заразы вроде не видно . Может ещё кто логи посмотрит . Может чего и не заметил.Если инересно , можно попробовать найти где остался ключ от гадости . Запостите тут тот ключ который собираетесь удалять . Да ,и сделайте резерв реестра перед экспериментами .
Переустановка - это как крайняя мера . Надеюсь , уже работать будете не из под администратора , надо поставить стенку и антивирус .

[QUOTE]
Запостите тут тот ключ который собираетесь удалять . Да ,и сделайте резерв реестра перед экспериментами .
[/QUOTE]
Да, еще бы знать, как это. Я реестра побаиваюсь, хотя чуть-чуть ориентируюсь в нем. А уж резерва тем более :)
[QUOTE]
Переустановка - это как крайняя мера . Надеюсь , уже работать будете не из под администратора , надо поставить стенку и антивирус .
[/QUOTE]
Да, все понятно, я наоборот просила не делать мне пароль на вход, мешается при входе, но теперь придется. Надеюсь, приедет человек, поможет с этим и с установкой антивируса. Что McAfee ставить не следует, уяснила :) А стенка-то у меня была, наверное, отключилась.

Приезжал сегодня компьютерщик. IE настроил. Но у меня не устанавливается брандмауэр, причем не включается совершенно. Даже после переустановки сервис-пака. А зараженных файлов еще много в Регете было.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\документы\\settings\\winsys2f.dll - [B]Trojan.Win32.Agent.acr[/B] (DrWEB: BackDoor.Uragan)[*] c:\\program files\\internet explorer\\iexplore.exe - [B]Trojan.Win32.Patched.bd[/B] (DrWEB: Trojan.PWS.GoldSpy)[/LIST][/LIST]