Неопознанный троян

**Reboot** · 03.10.2007, 18:14

В сообщении на форумах добавляется следующая запись "обменять купить продать очень выгодно webmoney egold yandex money здесь: http://dvora.hr/Vode/inexed.htm "
в КИПе такая "вот фотка моей девушки http://dvora.hr/Vode/inexed.htm она там голенькая"
Не знаю, что делать, искал 6тым каспером, ничего не находит...AVZ тоже ничего...

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 03.10.2007, 18:20

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\VisualTaskTips\VttHooks.dll','');
 QuarantineFile('C:\Program Files\BitAccelerator\BitAccelerator.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

**Reboot** · 03.10.2007, 18:51

сорри!

Результат загрузки
Файл сохранён как 071003_095104_virus_4703ac58cb28b.zip
Размер файла 139165
MD5 9e95f43173e22d5d22ef31ec767c217d

Файл закачан, спасибо!

**Bratez** · 03.10.2007, 18:53

А BitAccelerator.dll из карантина кто съел? Каспер? Присланные файлы чистые.
Выполните скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Program Files\BitAccelerator\BitAccelerator.dll');
 BC_DeleteFile('C:\Program Files\BitAccelerator\BitAccelerator.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пофиксите в HijackThis:

Код:

O2 - BHO: BitAccelerator module - {92860A02-4D69-48c1-82D7-EF6B2C609502} - C:\Program Files\BitAccelerator\BitAccelerator.dll

Полагаю, что проблема должна решиться.
Сделайте логи, начиная с п.10 правил.

**Reboot** · 03.10.2007, 19:07

Каспер, кто же еще

**Reboot** · 03.10.2007, 19:11

вот файлы

**Reboot** · 03.10.2007, 19:11

видимо не помогло

снова эта запись...

**Bratez** · 03.10.2007, 19:16

Тогда еще парочку проверим. Выполните скрипт:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\FPinger\FPinger.exe','');
 QuarantineFile('C:\Documents and Settings\Ovsyanik\Application Data\Mra\Update\menu.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

и новый карантин по правилам.

**Numb** · 03.10.2007, 19:27

В дополнение, сделайте еще дополнительный лог, о котором написано здесь - http://virusinfo.info/showthread.php?t=10387

**Reboot** · 03.10.2007, 19:39

подозрения на мэйлагент? и фпингер? странно...
все сделал, только вот файло не закачивается

**Reboot** · 03.10.2007, 19:54

Сообщение от Numb

В дополнение, сделайте еще дополнительный лог, о котором написано здесь - http://virusinfo.info/showthread.php?t=10387

сделал, вот протокол.

**Reboot** · 03.10.2007, 19:55

Сообщение от Bratez

и новый карантин по правилам.

сделано
Файл сохранён как 071003_105448_virus_4703bb48a6f32.zip
Размер файла 777424
MD5 79ec368dbac7f73e3900b4ee0cb44e53

**V_Bond** · 03.10.2007, 20:49

FPinger.exe и menu.dll - по вирустотал чисты ...
выполните скрипт...

Код:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('\??\C:\WINDOWS\system32\Drivers\TSKNF400.SYS','');     
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

пришлите карантин согласно прложения 3 правил ...

добавление строк происходит во всех браузерах ?

**Reboot** · 04.10.2007, 10:17

Доброго времени суток!
Все сделал.
Файл сохранён как071004_011442_virus_470484d245ece.zipРазмер файла4631MD5be78bfa8dfe24ee5bc36ef47e9d7e344

Во всех которыми пробовал (это EI7, Opera, MyIE) это добавляется.
И ещё заметил такую странность, логофф стал очень долго происходить.

**V_Bond** · 04.10.2007, 10:37

TSKNF400.SYS - чистый ....
повторите лог (стандартный скрипт 3) ..

**Reboot** · 04.10.2007, 11:04

Вот лог

**Numb** · 04.10.2007, 11:34

Давайте так попробуем: на время выполнения скрипта, отключитесь от сети и отключите монитор Касперского. Далее, программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

Код:

begin
Clearquarantine;
 QuarantineFile('c:\program files\tray commander\tc.exe','');
 QuarantineFile('C:\WINDOWS\system32\vc7upd.dll','');
 QuarantineFile('C:\Program Files\VisualTaskTips\VisualTaskTips.exe','');
 QuarantineFile('C:\Program Files\USDownloader\USDownloader.exe','');
 QuarantineFile('C:\Documents and Settings\Ovsyanik\Application Data\Mra\Update\games.dll','');
 QuarantineFile('c:\windows\system32\wgdm.exe','');
 QuarantineFile('C:\Program Files\VisualTaskTips\VttHooks.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки, содержимое карантина загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=12903 На всякий случай, скачайте Cureit! - ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe и проверьте систему еще и им, желательно, загрузившись в безопасном режиме. Внимание! При запуске cureit! выполняет экспресс-проверку системы, по окончании которой, следует самостоятельно отметить пунет "полная проверка" и нажать кнопку "старт"

**Reboot** · 04.10.2007, 13:18

Файл сохранён как 071004_041658_virus_4704af8a6b978.zip
Размер файла 932138
MD5 102589c41efa68dd8412979d96451938
проверял... скачал на флешку и с нее проверял в БР, пусто

**V_Bond** · 04.10.2007, 14:23

c:\program files\tray commander\tc.exe - нужно дождаться вирлаб (один из эвристиков считает его подозрительным)
C:\WINDOWS\system32\vc7upd.dll - чистый
C:\Program Files\VisualTaskTips\VisualTaskTips.exe - чистый
C:\Program Files\USDownloader\USDownloader.exe (suspected of Backdoor.Delf.180 (paranoid heuristics)) ждем окончательный вердикт
C:\Documents and Settings\Ovsyanik\Application Data\Mra\Update\games.dll -чистый
c:\windows\system32\wgdm.exe - чистый
C:\Program Files\VisualTaskTips\VttHooks.dll - чистый