В папке system32 появляется очень большой файл shicache.dll размером 6 гигов (заявка №107521)

[CyberHelper]

Пользователь обратился в сервис 911, указав на следующие проблемы в работе его компьютера:
В папке system32 появляется очень большой файл shicache.dll размером 6 гигов
Антивирус ничего не находит, файл удалить не получается, и невозможно получить к нему доступ.
Также есть загруженный драйвер zhgsksawob9.sys в папке drivers, но сам файл не отображается, даже скрытый.
Дата обращения: 20.08.2011 10:24:28
Номер заявки: 107521

[CyberHelper]

20.08.2011 11:10:06 на зараженном компьютере были обнаружены следующие вредоносные файлы:

1. C:\\Perl\\bin\\wperl.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 45056 байт
   • дата файла: 26.06.2011 21:41:02
   • версия: "5,10,0,1004"
   • копирайты: "Copyright 1987-2007, Larry Wall, Binary build by ActiveState, http://www.ActiveState.com"
2. c:\\rk7\\cardserv\\cardserv.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 594432 байт
   • дата файла: 19.04.2010 10:28:48
3. C:\\RK7\\CARDSERV\\DLLMAN.DLL - подозрительный, обрабатывается вирлабом
   
   • размер: 84480 байт
   • дата файла: 06.05.2010 9:33:12
   • версия: "1.2.2.14"
   • копирайты: "UCS"
4. C:\\RK7\\CARDSERV\\errors32.DLL - подозрительный, обрабатывается вирлабом
   
   • размер: 95232 байт
   • дата файла: 19.05.2010 15:25:14
   • версия: "1.0.8.22"
   • копирайты: "UCS"
5. C:\\RK7\\CARDSERV\\netkern.dll - подозрительный, обрабатывается вирлабом
   
   • размер: 279040 байт
   • дата файла: 14.05.2010 11:05:10
   • версия: "1.9.5.45"
   • копирайты: "UCS"
6. C:\\RK7\\CARDSERV\\pds_netk.dll - подозрительный, обрабатывается вирлабом
   
   • размер: 147968 байт
   • дата файла: 18.01.2010 15:26:22
7. C:\\RK7\\CARDSERV\\TCPSOC.dll - подозрительный, обрабатывается вирлабом
   
   • размер: 148480 байт
   • дата файла: 18.01.2010 15:26:22
   • версия: "1.0.20.34"
   • копирайты: "UCS"
8. C:\\RK7\\CARDSERV\\THREAD32.DLL - подозрительный, обрабатывается вирлабом
   
   • размер: 92160 байт
   • дата файла: 30.04.2010 13:51:56
   • версия: "1.3.1.23"
   • копирайты: "UCS"
9. C:\\WINDOWS\\system32\\DRIVERS\\traktirBO.sys - подозрительный, обрабатывается вирлабом
   
   • размер: 107520 байт
   • дата файла: 29.08.2009 23:56:34
   • версия: "1.1"
   • копирайты: "Copyright (C)2008 by Tyrus"
10. C:\\WINDOWS\\DOWNLO~1\\DVRWeb.ocx - подозрительный, обрабатывается вирлабом
    
    • размер: 1695744 байт
    • дата файла: 20.08.2008 16:42:26
    • версия: "1, 0, 0, 21"
    • копирайты: "Copyright (C) 2006"
11. C:\\WINDOWS\\ShellService.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 473600 байт
    • дата файла: 15.03.2009 17:53:44
12. c:\\windows\\system32\\ctfmon.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 16384 байт
    • дата файла: 26.06.2011 21:35:52
    • версия: "5.1.2600.5512 (xpsp.080413-2105)"
    • копирайты: "© Microsoft Corporation. All rights reserved."
13. C:\\WINDOWS\\System32\\dmadmin.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 224768 байт
    • дата файла: 26.06.2011 20:11:38
    • версия: "2600.5512.503.0"
    • копирайты: "© Корпорация Майкрософт, 1985-2000. Все права защищены.
      Фрагменты © Veritas Software, 1997-2000. Все права защищены."
14. C:\\WINDOWS\\system32\\imapi.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 151040 байт
    • дата файла: 26.06.2011 21:54:24
    • версия: "5.1.2600.5512 (xpsp.080413-2105)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
15. C:\\WINDOWS\\system32\\TMSTMMON.DLL - подозрительный, обрабатывается вирлабом
    
    • размер: 40893 байт
    • дата файла: 14.05.2003 2:09:06
    • версия: "2.09.06"
    • копирайты: "Copyright (C) SEIKO EPSON CORP. 1999-2003"
16. C:\\WINDOWS\\system32\\Drivers\\cap2408.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 204816 байт
    • дата файла: 20.01.2005 9:41:52
    • версия: "0.9.1.23"
17. C:\\WINDOWS\\system32\\DRIVERS\\mo_abus.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 52384 байт
    • дата файла: 07.10.2004 21:10:28
    • версия: "V4.22"
    • копирайты: "Copyright (c) MCCI 1997-2004"
18. C:\\WINDOWS\\system32\\DRIVERS\\mo_amdfl.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 6096 байт
    • дата файла: 07.10.2004 21:12:26
    • версия: "V4.22"
    • копирайты: "Copyright (c) MCCI 1997-2004"
19. C:\\WINDOWS\\system32\\DRIVERS\\mo_amdm.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 84384 байт
    • дата файла: 07.10.2004 21:12:32
    • версия: "V4.22"
    • копирайты: "Copyright (c) MCCI 1997-2004"
20. C:\\WINDOWS\\system32\\DRIVERS\\SkyNET.SYS - подозрительный, обрабатывается вирлабом
    
    • размер: 419344 байт
    • дата файла: 06.11.2007 15:20:56
    • версия: "4,04,01,9999"
    • копирайты: "Copyright © 2007, TechniSat Digital, S.A. All Rights Reserved."
    • детект других антивирусов: VBA32: Подозрение Trojan.Waledac
21. C:\\WINDOWS\\System32\\Drivers\\sptd.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 691696 байт
    • дата файла: 30.10.2010 22:45:18
    • версия: "1.62.0.0 built by: WinDDK"
    • копирайты: "Copyright (C) 2004"
22. C:\\WINDOWS\\system32\\drivers\\tridwave.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 101092 байт
    • дата файла: 13.09.1999 11:21:02
    • версия: "5.00.2122.1"
    • копирайты: "Copyright (C) Microsoft Corp. 1981-1999"
23. C:\\WINDOWS\\system32\\Drivers\\trysftnt.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 39136 байт
    • дата файла: 29.02.2000 15:14:18
    • версия: "1.00"
    • копирайты: "Copyright (C) Microsoft Corp. 1981-1996"
24. C:\\WINDOWS\\system32\\DRIVERS\\UtcRs232.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 28928 байт
    • дата файла: 29.12.2004 14:18:04
    • версия: "3, 0, 0, 3"
    • копирайты: "Copyright (C) Touch Utility 2002-2005"
25. C:\\WINDOWS\\system32\\Drivers\\SIVX32.sys - HEUR:Trojan.Win32.Generic
    
    • размер: 78336 байт
    • дата файла: 27.01.2011 9:55:18
    • детект других антивирусов: DrWEB 6.0: Зловред BackDoor.BotNet.117; BitDefender: Зловред Backdoor.Generic.649317; NOD32: Подозрение Win32/Rootkit.Agent.NRU trojan; Avast4: Зловред Win32:Agent-AHBJ [Rtk]
26. C:\\WINDOWS\\System32\\Drivers\\sptd.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 691696 байт
    • версия: "1.62.0.0 built by: WinDDK"
    • копирайты: "Copyright (C) 2004"
27. C:\\WINDOWS\\system32\\drivers\\zhgsksawob9.sys - HEUR:Trojan.Win32.Generic
    
    • размер: 78336 байт
    • детект других антивирусов: DrWEB 6.0: Зловред BackDoor.BotNet.117; BitDefender: Зловред Backdoor.Generic.649317; NOD32: Подозрение Win32/Rootkit.Agent.NRU trojan; Avast4: Зловред Win32:Agent-AHBJ [Rtk]

[CyberHelper]

20.08.2011 12:50:07 на зараженном компьютере были обнаружены следующие вредоносные файлы:

1. C:\\Perl\\bin\\wperl.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 45056 байт
   • дата файла: 26.06.2011 21:41:02
   • версия: "5,10,0,1004"
   • копирайты: "Copyright 1987-2007, Larry Wall, Binary build by ActiveState, http://www.ActiveState.com"
2. c:\\rk7\\cardserv\\cardserv.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 594432 байт
   • дата файла: 19.04.2010 10:28:48
3. C:\\RK7\\CARDSERV\\DLLMAN.DLL - подозрительный, обрабатывается вирлабом
   
   • размер: 84480 байт
   • дата файла: 06.05.2010 9:33:12
   • версия: "1.2.2.14"
   • копирайты: "UCS"
4. C:\\RK7\\CARDSERV\\errors32.DLL - подозрительный, обрабатывается вирлабом
   
   • размер: 95232 байт
   • дата файла: 19.05.2010 15:25:14
   • версия: "1.0.8.22"
   • копирайты: "UCS"
5. C:\\RK7\\CARDSERV\\netkern.dll - подозрительный, обрабатывается вирлабом
   
   • размер: 279040 байт
   • дата файла: 14.05.2010 11:05:10
   • версия: "1.9.5.45"
   • копирайты: "UCS"
6. C:\\RK7\\CARDSERV\\pds_netk.dll - подозрительный, обрабатывается вирлабом
   
   • размер: 147968 байт
   • дата файла: 18.01.2010 15:26:22
7. C:\\RK7\\CARDSERV\\TCPSOC.dll - подозрительный, обрабатывается вирлабом
   
   • размер: 148480 байт
   • дата файла: 18.01.2010 15:26:22
   • версия: "1.0.20.34"
   • копирайты: "UCS"
8. C:\\RK7\\CARDSERV\\THREAD32.DLL - подозрительный, обрабатывается вирлабом
   
   • размер: 92160 байт
   • дата файла: 30.04.2010 13:51:56
   • версия: "1.3.1.23"
   • копирайты: "UCS"
9. C:\\WINDOWS\\system32\\DRIVERS\\traktirBO.sys - подозрительный, обрабатывается вирлабом
   
   • размер: 107520 байт
   • дата файла: 29.08.2009 23:56:34
   • версия: "1.1"
   • копирайты: "Copyright (C)2008 by Tyrus"
10. C:\\WINDOWS\\DOWNLO~1\\DVRWeb.ocx - подозрительный, обрабатывается вирлабом
    
    • размер: 1695744 байт
    • дата файла: 20.08.2008 16:42:26
    • версия: "1, 0, 0, 21"
    • копирайты: "Copyright (C) 2006"
11. C:\\WINDOWS\\ShellService.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 473600 байт
    • дата файла: 15.03.2009 17:53:44
12. c:\\windows\\system32\\ctfmon.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 16384 байт
    • дата файла: 26.06.2011 21:35:52
    • версия: "5.1.2600.5512 (xpsp.080413-2105)"
    • копирайты: "© Microsoft Corporation. All rights reserved."
13. C:\\WINDOWS\\System32\\dmadmin.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 224768 байт
    • дата файла: 26.06.2011 20:11:38
    • версия: "2600.5512.503.0"
    • копирайты: "© Корпорация Майкрософт, 1985-2000. Все права защищены.
      Фрагменты © Veritas Software, 1997-2000. Все права защищены."
14. C:\\WINDOWS\\system32\\imapi.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 151040 байт
    • дата файла: 26.06.2011 21:54:24
    • версия: "5.1.2600.5512 (xpsp.080413-2105)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
15. C:\\WINDOWS\\system32\\TMSTMMON.DLL - подозрительный, обрабатывается вирлабом
    
    • размер: 40893 байт
    • дата файла: 14.05.2003 2:09:06
    • версия: "2.09.06"
    • копирайты: "Copyright (C) SEIKO EPSON CORP. 1999-2003"
16. C:\\WINDOWS\\system32\\Drivers\\cap2408.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 204816 байт
    • дата файла: 20.01.2005 9:41:52
    • версия: "0.9.1.23"
17. C:\\WINDOWS\\system32\\DRIVERS\\mo_abus.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 52384 байт
    • дата файла: 07.10.2004 21:10:28
    • версия: "V4.22"
    • копирайты: "Copyright (c) MCCI 1997-2004"
18. C:\\WINDOWS\\system32\\DRIVERS\\mo_amdfl.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 6096 байт
    • дата файла: 07.10.2004 21:12:26
    • версия: "V4.22"
    • копирайты: "Copyright (c) MCCI 1997-2004"
19. C:\\WINDOWS\\system32\\DRIVERS\\mo_amdm.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 84384 байт
    • дата файла: 07.10.2004 21:12:32
    • версия: "V4.22"
    • копирайты: "Copyright (c) MCCI 1997-2004"
20. C:\\WINDOWS\\system32\\DRIVERS\\SkyNET.SYS - подозрительный, обрабатывается вирлабом
    
    • размер: 419344 байт
    • дата файла: 06.11.2007 15:20:56
    • версия: "4,04,01,9999"
    • копирайты: "Copyright © 2007, TechniSat Digital, S.A. All Rights Reserved."
    • детект других антивирусов: VBA32: Подозрение Trojan.Waledac
21. C:\\WINDOWS\\System32\\Drivers\\sptd.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 691696 байт
    • дата файла: 30.10.2010 22:45:18
    • версия: "1.62.0.0 built by: WinDDK"
    • копирайты: "Copyright (C) 2004"
22. C:\\WINDOWS\\system32\\drivers\\tridwave.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 101092 байт
    • дата файла: 13.09.1999 11:21:02
    • версия: "5.00.2122.1"
    • копирайты: "Copyright (C) Microsoft Corp. 1981-1999"
23. C:\\WINDOWS\\system32\\Drivers\\trysftnt.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 39136 байт
    • дата файла: 29.02.2000 15:14:18
    • версия: "1.00"
    • копирайты: "Copyright (C) Microsoft Corp. 1981-1996"
24. C:\\WINDOWS\\system32\\DRIVERS\\UtcRs232.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 28928 байт
    • дата файла: 29.12.2004 14:18:04
    • версия: "3, 0, 0, 3"
    • копирайты: "Copyright (C) Touch Utility 2002-2005"
25. C:\\WINDOWS\\system32\\Drivers\\SIVX32.sys - HEUR:Trojan.Win32.Generic
    
    • размер: 78336 байт
    • дата файла: 27.01.2011 9:55:18
    • детект других антивирусов: DrWEB 6.0: Зловред BackDoor.BotNet.117; BitDefender: Зловред Backdoor.Generic.649317; NOD32: Подозрение Win32/Rootkit.Agent.NRU trojan; Avast4: Зловред Win32:Agent-AHBJ [Rtk]
26. C:\\WINDOWS\\system32\\DRIVERS\\traktirBO.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 107520 байт
    • версия: "1.1"
    • копирайты: "Copyright (C)2008 by Tyrus"
27. C:\\WINDOWS\\System32\\Drivers\\sptd.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 691696 байт
    • версия: "1.62.0.0 built by: WinDDK"
    • копирайты: "Copyright (C) 2004"
28. C:\\WINDOWS\\system32\\drivers\\zhgsksawob9.sys - HEUR:Trojan.Win32.Generic
    
    • размер: 78336 байт
    • детект других антивирусов: DrWEB 6.0: Зловред BackDoor.BotNet.117; BitDefender: Зловред Backdoor.Generic.649317; NOD32: Подозрение Win32/Rootkit.Agent.NRU trojan; Avast4: Зловред Win32:Agent-AHBJ [Rtk]

[CyberHelper]

20.08.2011 14:19:00 лечение успешно завершено