Generic Host Process Win 32 подвешивает интернет, Аваст детектит Malware Gen и Rootkit gen

Printable View

12.05.2010, 01:45
amy

Generic Host Process Win 32 подвешивает интернет, Аваст детектит Malware Gen и Rootkit gen

[FONT=Times New Roman][SIZE=3]Помогите, пожалуйста. [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Проблема началась давно, вирус отключил диспетчер задач, не позволял загрузить ни один антивирус или выйти на их сайты в Интернете. Пригласила я на помощь вроде бы знающего человека, который, отчаявшись поставить на компьютер хоть какую-либо антивирусную программу, предложил форматирование всего жесткого диска и переустановку Windows. Сделали. Установили Аваст. Стало только хуже.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Сразу же при загрузке Windows появляется сообщение «Run-time error 9», в диспетчере задач висит unwanted instance – заставляет комп обращаться к дисководу флоппи-дискет (звук характерный). Можно снять задачу – но при перезагрузке все повторяется.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]При выходе в Интернет появляется сообщение Generic Host Process Win 32 – обнаружена ошибка, после чего виснет не только Интернет, но и весь компьютер. [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]Dr.Web Cure it при первом сканировании показал наличие зараженных файлов exe в папке C:Windows/system 32 Win32HLLW Lime 8.[/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]Делала потом полное сканирование – вирусов не нашел, но сказал, что изменен файл Hosts.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Аваст при работе в Интернете все время выдает сообщение о проникновении Malware gen и Rootkit gen, находит зараженные файлы в папке C: Documents and Settings – Temporary Internet files.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Какой-то полный хаос. Я боюсь отдавать компьютер в руки еще кому-либо. Нашла ваш сайт, даже постаралась разобраться со всеми правилами. Если что-то сделала не совсем так – сильно не ругайтесь, хорошо?[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Буду очень признательна за помощь, или хотя бы совет – может, такой винчестер только заменить остается?[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
12.05.2010, 03:40
миднайт

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

В HiJackThis пофиксите:

[code]
R3 - URLSearchHook: (no name) - - (no file)
[/code]

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\msvmcls64.exe');
TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\788.exe');
TerminateProcessByName('c:\windows\cidrive32.exe');
QuarantineFile('C:\WINDOWS\system32\scdll.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3396682965-3832156929-200326028-2301\syscr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-2659557536-5892251697-427265465-9432\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4849103391-2635055441-558945159-4733\syscr.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\788.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmcls64.exe','');
QuarantineFile('C:\WINDOWS\cidrive32.exe','');
QuarantineFile('c:\windows\system32\msvmcls64.exe','');
QuarantineFile('c:\windows\cidrive32.exe','');
QuarantineFile('c:\docume~1\9335~1\locals~1\temp\788.exe','');
DeleteFile('c:\docume~1\9335~1\locals~1\temp\788.exe');
DeleteFile('c:\windows\cidrive32.exe');
DeleteFile('c:\windows\system32\msvmcls64.exe');
DeleteFile('C:\WINDOWS\cidrive32.exe');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\788.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced DHTML Enable');
DeleteFile('C:\RECYCLER\S-1-5-21-4849103391-2635055441-558945159-4733\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3396682965-3832156929-200326028-2301\syscr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-2659557536-5892251697-427265465-9432\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
DeleteFile('C:\WINDOWS\system32\scdll.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','64');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','87');
BC_ImportDeletedList;
ExecuteSysClean;
executewizard('TSW',3,3,true);
clearhostsfile;
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы/
[B][COLOR="Red"]Базы AVZ обновите![/COLOR][/B]
Логи повторите.
12.05.2010, 11:41
amy

Базы обновила.
Пофиксить в HIjackThis указанную строку не могу - ее просто нет. В процессе работы эта программа выдает сообщение - You have a particularly large amount of hijacked domains. И далее предлатает - If you see the same IP address in all reported 01 items, consider deleting your hosts file which is located at C:\Windows\System32\dirvers\etc\hosts
Что делать?

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

Карантин AVZ я отправила. Кстати, после выполненного скрипта при загрузке исчезла ошибка Run-time error и программка unwanted instance тоже автоматически не запустилась.
12.05.2010, 12:39
Шапельский Александр

[QUOTE='миднайт;635692']Логи повторите. [/QUOTE]
Сделайте новые логи
12.05.2010, 19:08
amy

Новые логи высылаю.
12.05.2010, 19:21
Шапельский Александр

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('C:\WINDOWS\system32\Instmtv.exe');
QuarantineFile('C:\WINDOWS\system32\12.exe','');
QuarantineFile('C:\WINDOWS\system32\60.exe','');
QuarantineFile('C:\WINDOWS\system32\Instmtv.exe','');
DeleteFile('C:\WINDOWS\system32\Instmtv.exe');
DeleteFile('C:\WINDOWS\system32\60.exe');
DeleteFile('C:\WINDOWS\system32\12.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
12.05.2010, 19:59
amy

Карантин и новый логи отправляю
12.05.2010, 20:13
Шапельский Александр

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\msvmcls64.exe');
QuarantineFile('C:\WINDOWS\system32\23.exe','');
QuarantineFile('C:\WINDOWS\system32\28.scr','');
DeleteFile('C:\WINDOWS\system32\msvmcls64.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3470484977-4172331039-145097354-2159\syscr.exe');
DeleteFile('C:\WINDOWS\system32\28.scr');
DeleteFile('C:\WINDOWS\system32\23.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MS Virtual CLS');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
Executerepair(11);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
Сделайте лог MBAM
12.05.2010, 21:21
amy

Посылаю новые логи. То, что показала Antimalware - привело в тихий ужас. И откуда это все - ведь весь диск форматировали и систему переустанавливали:(
12.05.2010, 21:28
Шапельский Александр

Просканируйте ПК MBAM и удалите все что найдет.
Сделайте новый лог virusinfo_syscheck.zip и лог MBAM
12.05.2010, 22:09
thyrex

Дополнительно к совету [B]shapel[/B]

Лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url] сделайте
12.05.2010, 22:52
amy

После лечения AntiMalware
12.05.2010, 22:55
amy

И только что, как отправила эти логи, выскочило старое сообщение Generic Host Process for Win 32 - обнаружена ошибка.
И Аваст (включается при перезагрузке) опять прозвенел о заражении - теперь VB-PFC (Drp)
12.05.2010, 23:00
Шапельский Александр

Выполните рекомендации коллеги [B]thyrex [/B]
12.05.2010, 23:25
amy

Лог от ComboFix

Что-то упрямая зараза, кажется.
Вы не можете хоть намекнуть - как она могла появиться: осталась где-то на жестком диске после форматирования или занесли при загрузке новой системы? Или это установить невозможно?

И еще - может ли с этим вирусом быть связан сбой в работе дисковода (например, он перестал читать некоторые диски, причем как CD, так и DVD. По времени эти проблемы совпали (дисковод стал барахлить в процессе форматирования/переустановки). Может - совпадение?
12.05.2010, 23:33
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\dn.exe
c:\windows\system32\drivers\hosts

Driver::

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\WINDOWS\\system32\\dn.exe"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
12.05.2010, 23:54
amy

Вот, новый отчет.
13.05.2010, 00:10
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
C:\ms.exe

Driver::

Folder::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MS Virtual CLS"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
13.05.2010, 00:49
amy

Выполнено
13.05.2010, 00:57
thyrex

Сделайте лог МВАМ

Скачайте [url=http://download.bleepingcomputer.com/andymanchesta/SDFix.exe]SDFix[/url], [B]загрузитесь в безопасном режиме[/B], запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из [B]C:\Report.txt[/B] и вставьте в следующее сообщение или запакуйте файл [B]C:\Report.txt[/B] и прикрепите к сообщению
13.05.2010, 01:01
amy

Не могу скачать - "невозможно найти страницу".
13.05.2010, 01:05
thyrex

Ссылку поправил. Пробуйте
13.05.2010, 22:01
amy

Ну что могу сказать - SDFix скачалась, процесс провела, отчет прилагаю. Сразу же после перезагрузки комп выдал ошибку Explorer.exe и завис. При повторной перезагрузке включилась старая программка unwanted instance. Аваст при подключении сразу начинает орать по-прежнему.
Хочется вместе с ним кричать караул. Что же это??
13.05.2010, 22:15
thyrex

Скачайте [url=http://oldtimer.geekstogo.com/OTM.exe]OTM by OldTimer[/url] и сохраните на рабочий стол.
Запустите OTM (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
[url=http://www.bleepingcomputer.com/forums/topic114351.html]временно выключите антивирус, firewall и другое защитное программное обеспечение[/url]. Выделите и скопируйте текст ниже (Ctrl+C)
[code]
:Processes
explorer.exe

:Services

:Files
C:\WINDOWS\system32\dn.exe
C:\RECYCLER\S-1-5-21-7055939145-5488920317-248592092-4978\syscr.exe
C:\RECYCLER\S-1-5-21-6532602407-2266632215-195073066-5249\playncr.exe

:Reg
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\WINDOWS\system32\dn.exe"=-
"c:\\WINDOWS\\system32\\dn.exe"=-

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]
[/code]
В OTM под панелью [b]"Paste Instructions for Items to be Moved"[/b] (под [color=yellow][b]желтой[/b][/color] панелью) вставьте скопированный текст и нажмите кнопку [b]"MoveIt!"[/b].

[B][I]Компьютер перезагрузится.[/I][/B]

После перезагрузки откройте папку [b]"C:\_OTM\MovedFiles"[/b], найдите последний .log файл (лог в формате [b]mmddyyyy_hhmmss.log[/b]), откройте и скопируйте текст из него в следующее сообщение.
13.05.2010, 22:28
amy

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== SERVICES/DRIVERS ==========
========== FILES ==========
C:\WINDOWS\system32\dn.exe moved successfully.
C:\RECYCLER\S-1-5-21-7055939145-5488920317-248592092-4978\syscr.exe moved successfully.
C:\RECYCLER\S-1-5-21-6532602407-2266632215-195073066-5249\playncr.exe moved successfully.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list\\C:\WINDOWS\system32\dn.exe deleted successfully.
Registry value HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list\\c:\\WINDOWS\\system32\\dn.exe not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 949937 bytes

User: Администратор
->Temp folder emptied: 15040348 bytes
->Temporary Internet Files folder emptied: 1393831 bytes
->Flash cache emptied: 784 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2114294 bytes
%systemroot%\System32 .tmp files removed: 5709 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 19,00 mb

OTM by OldTimer - Version 3.1.12.0 log created on 05132010_222139

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Да, но компьютер при перезагрузке после выполнения этой операции завис и сам даже не выключился. А после включения - все та же unwanted instance и Аваст со своими Win32:Malware gen.
13.05.2010, 22:33
thyrex

Делайте новый лог ComboFix
14.05.2010, 00:33
amy

Сделала.
14.05.2010, 00:39
thyrex

Нужно срочно устанавливать обновления для системы, иначе лечиться будете до бесконечности

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все новые патчи
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\msvmcls64.exe
C:\ms.exe

Driver::

Folder::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MS Virtual CLS"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
14.05.2010, 02:13
amy

Все сделала, кроме новых патчей - что это и где взять?
14.05.2010, 08:38
thyrex

[QUOTE='amy;636752']Все сделала, кроме новых патчей - что это и где взять?[/QUOTE][url]http://update.microsoft.com[/url]

В логе ничего плохого не видно. Что с проблемой?
14.05.2010, 19:35
amy

Аваст при выходе в интернет орать перестал, но к сожалению, программка unwanted instance все равно запускается, дисковод 3.5 рычит и Generic Hosts тоже может ни с того, ни с сего выскочить.
14.05.2010, 19:43
thyrex

Обновления установили?
14.05.2010, 22:55
amy

По ссылке установилась Windows Genuine Advantage KB892130
Еще что-нибудь надо?
Кстати, Аваст опять обнаружил гадость - теперь новую: Alureon-GG и Trojan gen.
14.05.2010, 23:02
thyrex

[QUOTE='amy;637172']По ссылке установилась Windows Genuine Advantage KB892130[/QUOTE]Да там их немеряно этих обновлений, а Вы только одно установили :)

Делайте новые логи AVZ + ComboFix
15.05.2010, 00:20
amy

Я завтра уезжаю на две недели, так что видимо до конца сейчас процесс мы не доведем. Скажите лучше: а если ничего радикально так и не поможет - что, жесткий диск менять?
15.05.2010, 00:52
thyrex

А при чем здесь смена винчестера???
15.05.2010, 18:52
amy

А что делать, если с этим работать невозможно? Или вирусы где-то еще, не на нем?
16.05.2010, 00:42
thyrex

Вирусы в системе. Но менять из-за них винчестер - это круто.
17.05.2010, 00:42
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]36[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\docume~1\9335~1\locals~1\temp\788.exe - [B]Trojan-Proxy.Win32.Agent.ciy[/B] ( DrWEB: Trojan.DownLoad.35732, AVAST4: Win32:Malware-gen )[*] c:\recycler\s-1-5-21-3470484977-4172331039-145097354-2159\syscr.exe - [B]P2P-Worm.Win32.Palevo.agfy[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Worm.Generic.243243, AVAST4: Win32:Malware-gen )[*] c:\recycler\s-1-5-21-4849103391-2635055441-558945159-4733\syscr.exe - [B]P2P-Worm.Win32.Palevo.afys[/B] ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KD.11119, AVAST4: Win32:Malware-gen )[*] c:\windows\cidrive32.exe - [B]Backdoor.Win32.IRCBot.pbt[/B] ( DrWEB: Trojan.DownLoad.35732, BitDefender: Trojan.KillAV.RZ, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\instmtv.exe - [B]Backdoor.Win32.IRCBot.pcv[/B] ( DrWEB: Trojan.Packed.20153, BitDefender: Gen:Trojan.Heur.sm0@dH2SfFjO, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\msvmcls64.exe - [B]Email-Flooder.Win32.Agent.cu[/B] ( DrWEB: Trojan.DownLoad.35732, BitDefender: Trojan.Spammer.ACB, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\scdll.exe - [B]Backdoor.Win32.Agent.auxp[/B] ( DrWEB: Trojan.Packed.20210, AVAST4: Win32:VB-PHF [Drp] )[*] c:\windows\system32\12.exe - [B]P2P-Worm.Win32.Palevo.agfy[/B] ( DrWEB: Win32.HLLW.Lime.18, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\23.exe - [B]P2P-Worm.Win32.Palevo.agfy[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Worm.Generic.243243, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\28.scr - [B]Backdoor.Win32.IRCBot.pcv[/B] ( DrWEB: Trojan.Packed.20153, BitDefender: Gen:Trojan.Heur.sm0@dH2SfFjO, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\60.exe - [B]P2P-Worm.Win32.Palevo.afys[/B] ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Trojan.Generic.KD.11119, AVAST4: Win32:Malware-gen )[/LIST][/LIST]