Снова Errorsafe и еще какой-то sample

Не удается самостоятельно справиться с выскакиванием errorsafe. Также обнаружено, что компьютер долго "отправляется на перезагрузку" - ждет завершения загадочной программы с названием Sample, о чем свидетельствует появляющееся окно. После нажатия в этом окне кнопки "Завершить сейчас" машина наконец перезагружается.
Прошу помощи.

В программе Hijackthis [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/URL] строку [code]O4 - HKLM\..\Run: [WindowsUpdate] rundll32.exe "C:\WINDOWS\system32\lqpdxgll.dll",realset[/code] Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\oqkqpgqv.dll','');
QuarantineFile('wingsa32.dll','');
QuarantineFile('urqpppp.dll','');
QuarantineFile('c:\windows\agrsmmsg.exe','');
QuarantineFile('C:\WINDOWS\system32\pmkji.dll','');
QuarantineFile('C:\WINDOWS\system32\lqpdxgll.dll','');
QuarantineFile('C:\WINDOWS\system32\urqpppp.dll','');
DeleteFile('C:\WINDOWS\system32\pmkji.dll');
DeleteFile('C:\WINDOWS\system32\lqpdxgll.dll');
DeleteFile('C:\WINDOWS\system32\urqpppp.dll');
DeleteFile('urqpppp.dll');
DeleteFile('wingsa32.dll');
DeleteFile('C:\WINDOWS\system32\oqkqpgqv.dll');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, загрузите карантин по ссылке [url]http://virusinfo.info/upload_virus.php?tid=9842[/url] и сделайте новые логи, начиная с п. 10 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]

готово

В программе Hijackthis [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/URL] строчки [code]O20 - Winlogon Notify: AutorunsDisabled - C:\WINDOWS\
O20 - Winlogon Notify: pmkji - C:\WINDOWS\
O20 - Winlogon Notify: urqpppp - C:\WINDOWS\
O20 - Winlogon Notify: wingsa32 - C:\WINDOWS\[/code]
Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('aswBoot.exe','');
DeleteFile('C:\WINDOWS\system32\pmkji.dll');
DeleteFile('C:\WINDOWS\system32\urqpppp.dll');
DeleteFile('C:\WINDOWS\system32\oqkqpgqv.dll');
DeleteFile('aswBoot.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/code] Система будет перезагружена. После перезагрузки, снова загрузите содержимое карантина и повторно сделайте логи, начиная с п.10 правил.

Выполнил.

В программе Hijackthis [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/URL] строки [code]O2 - BHO: (no name) - {19C3BF1F-8982-4618-AD90-B04138C845FC} - C:\WINDOWS\system32\pmkji.dll (file missing)
O2 - BHO: (no name) - {43DE05EB-4F4B-4ED9-BE0D-09F3EA6B3936} - C:\WINDOWS\system32\urqpppp.dll (file missing)
O2 - BHO: (no name) - {55DB983C-BDBF-426f-86F0-187B02DDA39B} - C:\WINDOWS\system32\oqkqpgqv.dll (file missing)[/code] Сообщения перестали вылезать?

Пофиксено.

Да, спасибо огромное - Errorsafe больше не появляется.
С Sample, увы, изменений нет: после нажатия "перезагрузить" появляется "подождите... не отвечает... Прекратить сейчас?"
Подскажите, плз - кто это может быть?

Последний карантин AVZ почему-то не дошел :( Загрузите, пожалуйста, его повторно по ссылке [url]http://virusinfo.info/upload_virus.php?tid=9842[/url] . Еще немного по поводу подозрительных вещей в логах: вот эту программу - C:\Program Files\XoftSpySE\XoftSpy.exe сами ставили? Даже, если сами, попробуйте убрать задания по ее запуску из планировщика задач. И еще строчка интересная в hosts: [code]10.10.10.175 intra.volia.net[/code] Если не сами писали, то тоже лучше убрать.

Карантин отправил повторно,
XoftSpySE поставил сам, когда начал искать средства против errorsafe, уже грохнул (все равно от нее никакого толку - детектит что-ни-попадя, а за лечилку денег хотят).
Строчка 10.10.10.175 intra.volia.net правильная, это мой туннель, убрать не могу - без нее работать не будет.

Скажите, плз - нет ли идей как победить Sample?

Она все еще присутствует?

У вас много программ висят в трее? Попробуйте поочередно их выгружать, и перезагружаться. Возможно, виновника удастся отследить таким образом.

К сожалению, Sample не задели вообще - увы, он присутствует даже более надежно, чем операционка :)

В трее 4 значка: индикатор тачпада, Аутлук, регулятор громкости и неактивный ActiveSync - мой традиционный набор. А вот Sample появился недавно и, по-моему, одновременно с ErrorSafe.

На всякий случай попробую поиграть с треем, результаты отпишу.

Можно еще сделать так.
в АВЗ - сервис - менеджер автозапуска. Слева вверху изображение дискетки - сохранить протокол. Сохраненный протокол прикрепите сюда, я либо кто-то другой посмотрим, и напишем ключи, которые можно будет поочередно отключать без ущерба системе, для проверки.

А можно и аctivesync выгрузить, зачем он в трее без дела сидит, а перед подключением pda , загружать.
Поможет утилита : [url]http://www.micrologics.co.uk/library/ast/[/url]

От ActiveSync-а отделаться удалось легко.

Протокол автозапуска - прикреплен.

Пробуйте
[code]C:\Program Files\ABBYY Lingvo 10 Multilingual Dictionary\Lvagent.exe Активен Ключ реестра HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, Lingvo Launcher
C:\Program Files\ABBYY Lingvo 10 Multilingual Dictionary\Tutor.exe Активен Ключ реестра HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, LingvoTraining
C:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe Активен Ключ реестра HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, PRONoMgr.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe Активен Ключ реестра HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, H/PC Connection Agent
C:\Program Files\Notebook Maximizer\maximizer_startup.exe Активен Ключ реестра HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, Notebook Maximizer
C:\Program Files\Punto Switcher\ps.exe Активен Ключ реестра HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, Punto Switcher
C:\Program Files\TOSHIBA\E-KEY\CeEKey.exe Активен Ключ реестра HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, CeEKEY
C:\Program Files\TOSHIBA\Power Management\CePMTray.exe Активен Ключ реестра HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, CeEPOWER
C:\Program Files\TOSHIBA\TouchPad\TPTray.exe Активен Ключ реестра HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, TPNF
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\igfxtray.exe
rdpclip[/code]

Может, еще кто добавит

Отключил.
Результата, увы, нет (см. лог), - Sample продолжает работать.

Что можно придумать еще?

Сделайте ещё раз логи.

Готово.

Я имел ввиду те три лога, которые Вы делали первоначально.

Готово.

В логах чисто. У вас установлен антивирус? Вы можете выполнить пункт 2 правил? [QUOTE]2. Перед проверкой желательно скачать утилиту от DrWeb - CureIT! и проверить систему в безопасном режиме. ~5 mb После этого следует просто перегрузиться ( обычный режим).[/QUOTE]

Проверил.

Что интересно: при выходе из защищенного режима снова появилось окошко имени Sample: мол, не отвечает - ожидаем завершения программы...

Что ж за зверь такой?!

А что если в AVZ установить драйвер AVZPM, перезагрузиться и посмотреть Диспетчером процессов AVZ? Еще можно перед запуском Диспетчера процессов выполнить стандартный скрипт #1 (антируткит). Попробуйте, авось что-то и вылезет наружу.

Интересно. В логах видна какая-то интеловская беспроводная карта. Она используется как- нибудь? Если нет, попробуйте отключить данное устройство и, попутно, остановить службу [code]O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\WINDOWS\system32\S24EvMon.exe[/code]. И еще, на момент появления предложения о закрытии неотвечающей программы, в диспетчере задач ее не видно? В крайнем случае, попробуйте поймать эту таинственную программу [URL="http://www.microsoft.com/technet/sysinternals/ProcessesAndThreads/ProcessExplorer.mspx"]Process Explorer-ом[/URL] - он дает больше информации, чем стандартный диспетчер задач.

Скрипт выполнил, он где-то логи складывает? Они нужны?
Интеловская карта - это мой WiFi, используется по прямому назначению
:)
До остановки службы и проверки [URL="http://www.microsoft.com/technet/sysinternals/ProcessesAndThreads/ProcessExplorer.mspx"]Process Explorer-ом[/URL] не добрался - похоже, удалось отловить AVZ-ом: Sample присутствует в 2-х процессах; чтобы не переврать - посмотрите, плз, 2 принтскрина в аттаче.

Опа...
У меня, оказывается, 2 штуки [B]csrss.exe:[/B] один в System32, а второй - прямо в [B]Windows[/B]. На всякий случай, наверное...
Как его (второй) отстреливают правильно?

[QUOTE=SMajor;111205]Опа...
У меня, оказывается, 2 штуки [B]csrss.exe:[/B] один в System32, а второй - прямо в [B]Windows[/B]. На всякий случай, наверное...
Как его (второй) отстреливают правильно?[/QUOTE]

предварительно пришлите второй... (в правилах написано как)

Пришлите по правилам файл C:\WINDOWS\system32\ZCfgSvc.exe.
Скорее всего, это от вашего WiFi-адаптера, но проверить не помешает.
Попробуйте полностью деинсталлировать программное обеспечение этого WiFi, проверьте будет ли появляться при перезагрузке зависший Sample, потом установите WiFi обратно. Похоже это его глюк.

С:\WINDOWS\[B]csrss.exe[/B] отправил.
А вот со вторым файлом сложнее: добавляю в список C:\WINDOWS\system32\ZCfgSvc.exe, потом смотрю карантин, а там - [B]csrss.exe[/B]!

И как его туда загнать?

[B]С:\WINDOWS\csrss.exe - это пинч![/B]
Скрипт для удаления:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\csrss.exe');
BC_DeleteFile('C:\WINDOWS\csrss.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Но как же он зараза хитро прячется, в логах-то его нет!!
После скрипта сделайте новые логи, интересно ZCfgSvc.exe пропадет или нет?

В дополнение: пинч ворует пароли, поэтому имеет смысл поменять пароли на учетные записи пользователей, записи электронной почты, номера ICQ, итд.

И правда
[QUOTE]Complete scanning result of "avz00001.dta", received in VirusTotal at 05.22.2007, 10:02:01 (CET).

Antivirus Version Update Result
AntiVir 7.4.0.23 05.22.2007 TR/Agent.29961
Authentium 4.93.8 05.21.2007 Possibly a new variant of W32/new-malware!Maximus
Avast 4.7.997.0 05.21.2007 Win32 : Ldpinch-GH
BitDefender 7.2 05.22.2007 DeepScan:Generic.Malware.SFYdldldg.D0CB6F96
CAT-QuickHeal 9.00 05.21.2007 (Suspicious) - DNAScan
eSafe 7.0.15.0 05.21.2007 Suspicious Trojan/Worm
Fortinet 2.85.0.0 05.22.2007 suspicious
F-Prot 4.3.2.48 05.21.2007 W32/new-malware!Maximus
F-Secure 6.70.13030.0 05.22.2007 LdPinch.JVR
Ikarus T3.1.1.7 05.22.2007 Trojan-Spy.Win32.Agent.DI
Norman 5.80.02 05.21.2007 LdPinch.JVR
Panda 9.0.0.4 05.21.2007 Trj/Ldpinch.AEQ
Sophos 4.17.0 05.21.2007 Mal/Basine-C
Sunbelt 2.2.907.0 05.17.2007 VIPRE.Suspicious
VBA32 3.12.0 05.21.2007 MalwareScope.Trojan-PSW.Pinch.42
Webwasher-Gateway 6.0.1 05.22.2007 Trojan.Agent.29961

Aditional Information
File size: 29961 bytes
MD5: d54368b0d7867ff2de9001c6877fb48e
SHA1: 261af0a5649191c57350a647588e6ebc0fd395e4
packers: FSG
Sunbelt info: VIPRE.Suspicious is a generic detection for potential threats that are deemed suspicious through heuristics.[/QUOTE]

Скрипты выполнил, отправляю логи.

Кажется, срослось :P

После деинсталляции/инсталляции интеловских драйверов для WiFi Sample наконец исчез.

Что видно по логам, жить - будет?

Полная чистота и порядок :)

Спасибо огромное всем!

Что я должен?

Как ни странно, вашего "Спасибо" достаточно :)
Вы можете еще нам помочь вот так [url]http://virusinfo.info/showthread.php?t=3519[/url]

Закачал, 2 файла:
Файл сохранён как070522_145417_virusinfo_files_MAJOR_4652cbd9649a4.zipРазмер файла520040MD5a79202a409edb79c98f5715c2585e2d3

и

Файл сохранён как070522_145452_virus_4652cbfc4623e.zipРазмер файла520040MD5294f417b883d92903ac29dd1b8bad741

Еще раз огромное спасибо всем спасателям!
Удачи вам :D

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\csrss.exe - [B]Trojan-PSW.Win32.LdPinch.cah[/B] (DrWEB: Trojan.PWS.LDPinch.1780)[*] c:\\windows\\system32\\lqpdxgll.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.ar[/B] (DrWEB: BackDoor.Iterator)[*] c:\\windows\\system32\\pmkji.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.js[/B] (DrWEB: Trojan.Virtumod)[*] c:\\windows\\system32\\urqpppp.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.jp[/B] (DrWEB: Trojan.Virtumod)[/LIST][/LIST]