Вирус рассылающий спам

Так вот ко мне попал вирус рассылающий спам, прошёл все пункты в правилах - не помогло, у меня стоит АВ система НОД32, повидимому, не находит вирус......
щас постараюсь выложить логи AVZ и HJT
спасибо!

virusinfo_cure.zip - карантин программы AVZ, к тому же пустой. Файлы из карантина не нужно прикреплять к теме, их нужно загружать по ссылке, как написано в прил.2 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] Пожалуйста, выполните так же следующее: программа AVZ - файл - стандартные скрипты - отметьте и выполните "Скрипт сбора информации для раздела "Помогите", полученный файл прикрепите к теме.
Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\sysdrv.sys','');
QuarantineFile('C:\Documents and Settings\-^Delax^-\My Documents\r157_80.bat','');
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки пришлите файлы из карантина, как написано в правилах. Ссылка на вашу тему - [url]http://virusinfo.info/showthread.php?t=7574[/url]

Понял теперь почему этого файла не было, спасибо)
в карантине почему то ничего нету

Файл из карантина заархивировал, отправил по ссылке указанной в правилах с указанием ссылки на эту тему.
Жду ответа, спасибо!

Правила читал, выполнил пункты указанные в правилах, логи прикрепил в теме "вирус рассылающий спам", если требуется могу также прикрепить в эту.
Как и в другой теме про [URL="http://www.apeha.ru"]www.apeha.ru[/URL] у меня та же сама проблема, только в той теме я ответить к сожалению не смог.
пробовал как вы сказали "пофиксить" - ничего не получилось
Эта страница с апехой меня парила больше года наверное, я у друзей спрашивал ниукого такого нету я подумал что тока у меня и забил на это дело. Но раз здесь тоже была такая тема может быть это вирус......
К тому же у меня компьютер заражён вирусом, рассылающим спам, быть может это как то связано между собой.
СПАСИБО!

Также хочу обратить внимание на то что антивирус не может проверить некоторые файлы, пишет то что файл заблокирован
скрин прикрепил

[quote=Delax;91944]Также хочу обратить внимание на то что антивирус не может проверить некоторые файлы, пишет то что файл заблокирован скрин прикрепил[/quote]
Всё нормально, эти файлы и должны быть заблокированы

Вот ещё один нюанс...У меня помоему не лицензионная винда СП2 и после установки какого то обновления начала вылетать табличка "This copy is not genuige" "you system may be at risk"

[quote=Delax;91947]Вот ещё один нюанс...У меня помоему не лицензионная винда СП2 и после установки какого то обновления начала вылетать табличка "This copy is not genuige" "you system may be at risk"[/quote]
Самый простой способ узнать лиц. или нет, зайти на сервер обновлений Майкрософт и попробовать обновиться, если пошлёт, значит не лицензионная.

[quote=ALEX(XX);91949]Самый простой способ узнать лиц. или нет, зайти на сервер обновлений Майкрософт и попробовать обновиться, если пошлёт, значит не лицензионная.[/quote]
да я заходил предлагали ключ купить за большую сумму долларов)

Значит, нелицензионная.

А по поводу логов что нибудь можете сказать?
Спасибо!

Выполнял все что вы сказали тока одна страннолсть: из скрипта видно что в карантине должно быть два файл, однако туда попал только файл с роутингом(157.80.bat......) - запускал скрипт ещё раз то же самое, отправил куда указано в правилах.
Сканирую постоянно после обновления баз антивирусом(НОД32) - толку нет (может стоит поставить другой АВ?)
Пока стоял Аутпост Фаэрвол постоянно были сообщения что я был атакован адресом 127.0.0.1(my adress attak), когда НОД удалил пару его файлов снес его и пользуюсь простым брандмауэром виндовс...
С ввв.апеха.ру разобрался по видимому, много памяти отнимает процесс svchost.exe(мб мне так кажется.....)
Постоянно отрубают инет с надписью "ваш аккаунт заблокирован за рассылку спама, быть может это вирус", задолбался уже разблокировать его
Надеюсь вы мне поможете а то форматиться не охота

В присланном карантине - только .bat файл. Действительно, с роутингом. Как я понял, он поставлен в автозагрузку вами. Ничего другого не видно. Сделайте, пожалуйста, новые логи с открытым окном браузера, как написано в правилах

Вот новые логи

Вот теперь виднее :) . вот это: [code]c:\program files\mirc\mirc.exe[/code] сами ставили? если нет, то она, с большой вероятностью, и есть бэкдор на вашу машину. Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\mirc.ini','');
QuarantineFile('c:\program files\mirc\mirc.ini','');
QuarantineFile('c:\program files\mirc\mirc.exe','');
DeleteFile('c:\program files\mirc\mirc.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/code] после перезагрузки системы пришлите файлы, попавшие в карантин. А вот загрузчика я не вижу :( Просьба к другим хелперам : посмотрите, пожалуйста, логи по этой теме.

мирка думаеться руками запускаеться=))

но вот эти два файла я бы глянул

C:\WINDOWS\system32\ShellExt\fhrshext.dll
C:\WINDOWS\system32\WgaLogon.dll

кстати с дегунино последнее время много народу, уже не первого человека замечаю..))

Скачал мирку и установил её, больше особо ничего не делал.
Частенько мирку скачивал и попадалась вирусованная, но антивир замечал....
4 названные вами файла были помещены в карантин, заархивированы и отосланы, 'c:\windows\system32\mirc.ini' не был найден(если честно я и не знаю что он может делать в систем32)
Надеюсь, когда дописывал скрипт, не ошибся

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\mirc.ini','');
QuarantineFile('c:\program files\mirc\mirc.ini','');
QuarantineFile('c:\program files\mirc\mirc.exe','');
QuarantineFile('C:\WINDOWS\system32\ShellExt\fhrshext.dll','');
QuarantineFile('C:\WINDOWS\system32\WgaLogon.dll','');
DeleteFile('c:\program files\mirc\mirc.exe');
ExecuteSysClean;
RebootWindows(true);
end.
Спасибо, жду ответа

Не ошиблись, файлы пришли, но, похоже, все чистые.

Ну что же делать каждый день интернет замораживается и это сообщение в личном кабинете о том что отключен за рассылку спама. =(
Установка другого антивируса может решить проблему? (КАВ,ДрВеб) Раньше кстати стоял нортон с 2004 по 2005 пользовался им в 2006 посоветовали НОД поставить, раньше проблем с вирусами не было вообще

Поймать бы момент, когда спам идёт. Не видно его в логах.
Пришлите ещё результат вот этого:
[code]begin
QuarantineFile('C:\WINDOWS\system32\drivers\EIO.sys','');
end.[/code]

В соседней теме [url]http://virusinfo.info/showthread.php?t=7573[/url]
проверял на virustotal WgaLogon.dll
Надо подождать окончательного вердикта. М.б. это кто-то под Майкрософт косит.

После очередной проверки в карантин автоматом занеслось очень много объектов, из папок сониэриксона (сомневаюсь что там проблема, софт лицензионный с диска), мирк (уже проверялось), ICQ и миранда и из папки систем 32 файлов 6-7.
Архивирую карантин, отсылаю вам снова.
Спасибо!

[quote=PavelA;92357]В соседней теме [URL]http://virusinfo.info/showthread.php?t=7573[/URL]
проверял на virustotal WgaLogon.dll
Надо подождать окончательного вердикта. М.б. это кто-то под Майкрософт косит.[/quote]

WgaLogon.dll из карантина по текущей теме имеет цифровую подпись Microsoft. На virustotal его никто даже подозрительным не считает :(

три файла моих видеокодеков были инфицированы вирусом WIN32\remote admin
нашел НОД32 при глубоком анализе системы, до сегоднешнего дня не находил.....
сам вирус походу не найден
вот тока что ещё раз сканил нашёл ещё три
C:\WINDOWS\system\admdll.#ll - Win32/RemoteAdmin приложение
C:\WINDOWS\system\raddrv.#ll - Win32/RemoteAdmin приложение
C:\WINDOWS\system32\raddrv_0.#ll - Win32/RemoteAdmin приложение
чё посоветуете?
спам всё ещё идёт с моего компа! =(

Виноват, зарапортовался. Это насчет WgaLogon.dll

[QUOTE=Delax;92410]три файла моих видеокодеков были инфицированы вирусом WIN32\remote admin
нашел НОД32 при глубоком анализе системы, до сегоднешнего дня не находил.....
сам вирус походу не найден
вот тока что ещё раз сканил нашёл ещё три
C:\WINDOWS\system\admdll.#ll - Win32/RemoteAdmin приложение
C:\WINDOWS\system\raddrv.#ll - Win32/RemoteAdmin приложение
C:\WINDOWS\system32\raddrv_0.#ll - Win32/RemoteAdmin приложение
чё посоветуете?
спам всё ещё идёт с моего компа! =([/QUOTE]

Надо попробовать добавить из в карантин AVZ и прислать.
AVZGuard включить.
Сначала Сервис -- Поиск файлов. Если найдутся, добавить в карантин и прислать для анализа.
Перед выходом из AVZ AVZGuard выключить.
Странно, что AVZ их нигде не показал.

RAdmin - он и есть RAdmin. Тем более - переименованный посредством CureIt и потому уже неработоспособный. Впрочем, если сами не ставили - мочить его безжалостно, ибо похоже на подсадную утку.

P.S. RAdmin сам по себе ничего не заражает, это вообще-то законопослушное приложение, если в порядочных руках.

В том всё и дело что радмин я удалил очень давно может пол года назад и его у меня не было.
Похоже что это вирус такой remoteadmin
Заметил также некую странность: аутпост фаервол пишет об обнаруженной атаке (атака с адреса 127.0.0.1 (my adress attack)) затем и происходит рассылка спама насколько я понял (судя по надписи которая появляется в личном кабинете)

Это не вирус, это RAdmin собственной персоной.

А почему бы не посмотреть по логам Outpost, что ещё происходит в момент и вскоре после атаки, и кто в это время лезет в сеть?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]47[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\mirc\\mirc.exe - [B]not-a-virus:Client-IRC.Win32.mIRC.616[/B] (DrWEB: Program.mIRC.616)[/LIST][/LIST]