Процесс tsitra1107.exe что за троян?!

[Zhezhe]

Помогите идентифицировать заразу... тормозит комп и периодически открываются пустые окна эксплорера... в процессах висит вот такая вот фигня, которая вызывает реальное беспокойство... что за зверь такой? Причина кроется в нем? Прогнал через AVZ нашел несколько троянов и закарантил их, но этот процесс не исчез. Прикладываю все необходимое по правилам клуба. Заранее благодарю!

[V_Bond]

выполните скрипт...

begin
 QuarantineFile('\Device\HarddiskVolume1\ICQLite\ICQLite.exe','');
 QuarantineFile('\Device\HarddiskVolume1\WINXP\System32\WUAUCLT.EXE','');
 QuarantineFile('\Device\HarddiskVolume1\WINXP\System32\USERINIT.EXE','');
 QuarantineFile('\Device\HarddiskVolume1\WINXP\tsitra1107.exe','');
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...

[Zhezhe]

Спасибо за столь скорую реакцию, я закачал карантин.

[V_Bond]

карантин пустой ...
файлы ...
\ICQLite.exe
\System32\WUAUCLT.EXE
\System32\USERINIT.EXE
\System32\USERINIT.EXE
tsitra1107.exe
поищите через AVZ-cервис-поиск файлов на диске ... если найдутся пришлите по правилам ...

[Zhezhe]

Обратил внимание, что при выполнении Вашего скрипта сыпались следующие ошибки...
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\ICQLite\ICQLite.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\ICQLite\ICQLite.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\ICQLite\)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\System32\WUAUCLT.EX E)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\System32\WUAUCLT.EX E)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\System32\)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\System32\USERINIT.E XE)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\System32\USERINIT.E XE)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\System32\)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\tsitra1107.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\tsitra1107.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (\Device\HarddiskVolume1\WINXP\)
Карантин с использованием прямого чтения - ошибка

Добавлено через 5 минут

Нашел все эти файлу... заархивировал и закачал! Смотрите!

[V_Bond]

нужно присылать архив с паролем ... пределайте пожалуйста ...

[Zhezhe]

нужно присылать архив с паролем ... пределайте пожалуйста ...

исправил... смотрите!

[V_Bond]

C:\WINXP\tsitra1107.exe Trojan-Downloader.Win32.Agent.ecz
выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINXP\tsitra1107.exe');
 BC_ImportDeletedList;
 BC_Activate;
 RebootWindows(true);
end.

повторите логи...

[Zhezhe]

Извините, что так долго не отвечал... не было интернета... я еще сам пофиксил эту шнягу в реестре... вроде по тесту все чисто... посмотрите сами еще разочек... Спасибо большое за Вашу помощь!

[V_Bond]

выполните скрипт...

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\WINXP\tsitra1107.exe','');
 QuarantineFile('C:\WINXP\Temp\startdrv.exe','');
 DeleteFile('C:\WINXP\Temp\startdrv.exe');
 DeleteFile('C:\WINXP\tsitra1107.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...
обновите базы AVZ....
сделайте полный комплект логов ...

[Zhezhe]

Хорошо конечно сделаю еще раз... но мне кажется что все чисто!

[Zhezhe]

Вот последние логи

[Bratez]

В логах чисто.
Рекомендуется отключить все ненужное из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: к ПК разрешен доступ анонимного пользователя

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\winxp\\tsitra1107.exe - Trojan-Downloader.Win32.Homles.u (DrWEB: Trojan.DownLoader.31817)