Троян Win32/Spy.SpyEye.CA в оперативной памяти

[KTF]

NOD32 обнаруживает трояна в памяти, инфицированный файл меняется.

Operating memory » DTLite.exe(236) - a variant of Win32/Spy.SpyEye.CA trojan - unable to clean

Windows 7 x64

[Info_bot]

Уважаемый(ая) KTF, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

- Сделайте лог полного сканирования МВАМ.

- Проведите процедуру, которая описана тут. Результат загрузки напишите в сообщении здесь.

[KTF]

Логи и результат заливки файла.

Файл сохранён как 121115_174241_virusinfo_files_FIREBIRD_50a5299121d 35.zip
Размер файла 5537187
MD5 73b05f69ff0097eacbb5ff59f6c9dfff

[regist]

1. Скачайте архив TDSSKiller.zip и распакуйте его в отдельную папку;
2. Скопируйте следующий текст в Блокнот и сохраните в папку с распакованным TDSSKiller.exe, как fix.bat:

   tdsskiller.exe -silent -qmbr -qboot

3. Запустите файл fix.bat;
4. Найдите в корне системного диска (обычно это диск C:) папку TDSSkiller_Quarantine;
5. Заархивруйте эту папку с паролем virus. И virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.
6. Запустите файл TDSSKiller.exe;
7. Нажмите кнопку "Начать проверку";
8. В процессе проверки могут быть обнаружены объекты двух типов:
   • вредоносные (точно было установлено, какой вредоносной программой поражен объект);
   • подозрительные (тип вредоносного воздействия точно установить невозможно).
9. По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.
10. Для вредоносных объектов утилита автоматически определяет действие: Лечить или Удалить.
11. Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию Пропустить).
12. После нажатия кнопки Продолжить утилита выполняет выбранные действия и выводит результат.
13. Прикрепите лог утилиты к своему следующему сообщению

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.2.4.7_23.07.2010_15.31.43_log.txt

[KTF]

Архив залил, TDSSKiller ничего не нашел, NOD32 по-прежнему видит троян (уже в другом файле).

[thyrex]

Сделайте лог ComboFix

[KTF]

Прикрепил лог.

[regist]

что сейчас с проблемой ?

Смените пароли !

скопируйте код ниже в любой текстовый редактор (например, Блокнот). Нажмите CTRL+S и сохраните файл с любым именем и расширением .reg, заключая оба в кавычки.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\MySQL]
"ImagePath"="\"d:\development\MySQL\bin\mysqld\" --defaults-file=\"d:\development\MySQL\my.ini\" MySQL"

- - - Добавлено - - -

подробней тут

[KTF]

Выполнил .reg файл, перезагрузился, NOD32 ничего не находит, огромное спасибо
Троян через MySQL как-то залез?

[regist]

Троян через MySQL как-то залез?

нет, скорей всего через java просто ComboFix почему-то в комлекте прихлопнул этот ключ.

Удалите ComboFix

Выполните скрипт в AVZ при наличии доступа в интернет:

begin
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
 If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
 Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[thyrex]

+ все пароли смените

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения вредоносные программы в карантинах не обнаружены