Заражение-3

[SonarMaster]

Комп поймал орду вирусов, после лечения авз и куреит, вроде многие умерли, но думаю, кто-то остался, при загрузке выскакивает странное окно - Мастер Регистрации - работа приостановлена, не могу определить тип система, и кнопка ОК, после чего машина грузится, но очень медленно...
Вообщем, прикладываю логи...

[drongo]

Выполнить скрипт (avz):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\param32.ocx','');
 QuarantineFile('C:\Documents and Settings\Администратор\mxcrtp.dll','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\sthbdm32.dll','');
 QuarantineFile('C:\WINDOWS\system32\bho.dll','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\system32\ldr.exe','');
 QuarantineFile('C:\WINDOWS\RTHDCPL.EXE','');
 QuarantineFile('system32\DRIVERS\atl01_xp.sys','');
 QuarantineFile('system32\DRIVERS\igxpmp32.sys','');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\bho.dll');
 DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\sthbdm32.dll');
 DeleteFile('C:\Documents and Settings\Администратор\mxcrtp.dll');
 DeleteFile('C:\WINDOWS\System32\param32.ocx');
ExecuteRepair(6);
ExecuteRepair(9);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...

Есть подозрение, что родной файл C:\WINDOWS\system32\svchost.exe удалён, нужно вернуть на место из дистрибьютева.

[SonarMaster]

Вернул с дистрибутива свхост, стало грузится нормально всё.
Карантин высылаю.

[drongo]

kaspersky:
avz00001.dta - Rootkit.Win32.Agent.jj,
avz00003.dta - Trojan.Win32.Zapchast.v,
avz00005.dta - Trojan-Spy.Win32.Banker.fov,
avz00006.dta - Trojan-PSW.Win32.Zbot.n,
avz00007.dta - Trojan.Win32.BHO.bt

Надо менять пароли , и новые логи сделать. Может что проглядел.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 25
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\handycache\\cache\\loadbalanse.info\\ldr.ex e - Trojan-Spy.Win32.Zbot.zr (DrWEB: Trojan.DownLoader.22816)
  2. c:\\windows\\system32\\ati2paag.dll - Trojan-Banker.Win32.Banker.fov (DrWEB: Trojan.PWS.GoldSpy)
  3. c:\\windows\\system32\\bho.dll - Trojan.Win32.BHO.bt (DrWEB: Trojan.Legoo)
  4. c:\\windows\\system32\\drivers\\protect.sys - Rootkit.Win32.Agent.jj (DrWEB: Trojan.NtRootKit.429)
  5. c:\\windows\\system32\\krnl32.dll - Trojan.Win32.Zapchast.v (DrWEB: Trojan.Qhost.45073)