Трояны???

[Soland]

Добрый день, уважаемые хелперы!
Проблема состоит в следующем:
26.03.09 около 9-00 по Киеву в ВМ-кипере произошли непонятные вещи
Сначала я получаю "Перевод средств 6.49 WMZ из секции wm.exchanger.ru по встречной заявке 5342563", хотя никаких заявок я не давал. С моего Е-кошелька списалось 4.96 WME. Сразу же после этого с моего Z-кошелька в адрес Z277664358903 (103145595876) снялась сумма 44.20 WMZ с примечанием "оплата", хотя никому никакой оплаты я произодить не собирался. Попытки зайти на wm.exchanger.ru результата не дали - выдавалось сообщение "Пользователь офлайн, Запустиле ВМ-кипер" Хотя он был запущен. >При выходе из кипера и новой попытке входа мне выдает ошибку "Не выполнена команда входа". Попытки провести ининциализацию через файлы ключей тоже ни к чему не привели - кипер не запускатся.
Служба поддержки WebMoney рекомендовала обратиться к Вам.
Логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

Заранее благодарен!

[light59]

В логе

C:\Program Files\RusIP Transfer System\rusip.exe >>>>> Trojan-PSW.Win32.WebMoner.x  успешно удален

Воровайка паролей...

В AVZ -> файл-> Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINNT\system32\ntos.exe','');
 QuarantineFile('C:\WINNT\System32\rs32net.exe','');
 DeleteFile('(Нет)');
 DeleteFile('C:\Documents and Settings\And\And.exe');
 DeleteFile('C:\WINNT\System32\rs32net.exe');
 DeleteFile('C:\WINNT\system32\ntos.exe');
 DeleteFile('digeste.dll');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=42672
Повторите логи.

P.S.В саппорт webmoney писали?

[Soland]

Спасибо!
Но дело в том, что RusIP Transfer System является программой передачи средств из системы RusIP - об этом написано на сайте http://rusip.ru/ - Каспер действиетельно считает этот файл чистым, тем более Transfer System используется мной уже более года и никаких нареканий не вызывал.
Саппорт WM что-то пишет о восстановлении... попробую..
А какие логи повторить? Повторно прогнать AVZ и HiJackThis??

[Гриша]

Да...

Добавлено через 1 минуту

rusip.exe пришлите в архиве с паролем "virus", разработчик уберет кривую сигнатуру...

[Soland]

Новые логи и rusip.exe в RAR

[Гриша]

В логах чисто, rusip.exe прислать по красной ссылке вверху темы...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\winnt\system32\ntos.exe - Trojan-PSW.Win32.Broker.n ( DrWEB: Trojan.Packed.511, BitDefender: Trojan.Spy.Zeus.1.Gen )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !