Компьютер заражен трояном Trojan-Downloader.Win32.Delf.dbo

**wheeller** · 26.11.2007, 11:23

Kaspersky AV 6.0 нашел в папке System32 зараженный вирусом Trojan-Downloader.Win32.Delf.dbo файл cscu.dll. Не может удалить его - пишет "Файл содержит троянскую программу Trojan-Downloader.Win32.Delf.dbo. Лечение невозможно: отсутствуют права на запись". Троян запускает дублирующий процесс avp.exe (в логах он может отсутствовать т.к. во время работы AVZ Касперский был отключен.

Вот необходимые файлы

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**PavelA** · 26.11.2007, 11:27

Базы AVZ надо обновлять!!

Выполнить скрипт:

Код:

begin
 SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\SystemRoot\system32\drivers\cqigsjyg.dat','');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Spyware Terminator\sp_rsdrv2.sys','');
 QuarantineFile('C:\WINDOWS\system32\cscu.dll','');
DeleteFile('C:\WINDOWS\system32\cscu.dll');
DelCLSID('33331111-1111-1111-1111-615111193427');
DelCLSID('33331111-1111-1111-1111-611111193423');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Загрузить карантин.

**wheeller** · 26.11.2007, 11:40

спасибо, файл удален!

**PavelA** · 26.11.2007, 11:51

Карантин загрузили?

новые логи надо сделать. Посмотрим, что осталось.

**wheeller** · 26.11.2007, 11:52

еще: в автозагрузке есть неизвестный процесс: dumprep0 -k (%systemroot%\system32\dumprep0 -k;
и процесс avp в кавычках
Нужно ли что-то делать?

**Bratez** · 26.11.2007, 12:05

Выполните скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\cqigsjyg.dat','');
 DeleteFile('C:\WINDOWS\system32\drivers\cqigsjyg.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделайте новые логи.

**PavelA** · 26.11.2007, 12:25

Сообщение от wheeller

еще: в автозагрузке есть неизвестный процесс: dumprep0 -k (%systemroot%\system32\dumprep0 -k;
и процесс avp в кавычках
Нужно ли что-то делать?

Первый - выдача дампа в случае возникновения ошибки.
Второй - из-за длинной директории с пробелами в имени.

Добавлено через 1 минуту

Вот эту ерунду еще надо профиксить:
O16 - DPF: {E cellSpacing=5 cellPadding=3 width=400} -

**wheeller** · 26.11.2007, 12:49

выполняю в AVZ скрипт лечения/карантина и сбора информации для раздела... в процессе комп перезагружается.

Добавлено через 52 секунды

O16 - DPF: {E cellSpacing=5 cellPadding=3 width=400} -
пофиксил

**PavelA** · 26.11.2007, 12:58

Значит, пришла пора сделать вот это:http://virusinfo.info/showthread.php?t=10387
Желательно в защищенном режиме.

**wheeller** · 26.11.2007, 19:11

Сделал все по ссылке http://virusinfo.info/showthread.php?t=10387 . Прикрепляю файлы.

**V_Bond** · 26.11.2007, 19:18

выполнте скрипт...

Код:

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('c:\windows\system32\drivers\new_drv.sys','');
 DeleteFile('C:\WINDOWS\system32\cscu.dll');
 DelCLSID('59B77E0C-0EC9-4CB9-98C0-B018354DAF82');
 DeleteFile('c:\windows\system32\drivers\new_drv.sys');
 BC_DeleteSvc('new_drv');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите каран тин согласно приложения 3 правил...
повторите лог в SAFE MODE

**PavelA** · 26.11.2007, 19:18

Если после скрипта V_Bond в карантин ничего не попадет,
то выполните мой.
Выполнить скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_QrFile('C:\windows\system32\drivers\new_drv.sys');
 BC_DeleteFile('C:\windows\system32\drivers\new_drv.sys');
 DeleteFile('C:\WINDOWS\system32\cscu.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить карантин.

Профиксить в hijackthis:

Код:

O2 - BHO: (no name) - {59B77E0C-0EC9-4CB9-98C0-B018354DAF82} - C:\WINDOWS\system32\cscu.dll (file missing)
O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
O16 - DPF: {E cellSpacing=5 cellPadding=3 width=400} -

**V_Bond** · 26.11.2007, 19:38

уберите карантин из темы ... не положено ... к тому же он старый ... и там ничего интересного ...
давайте новый лог ...

**wheeller** · 26.11.2007, 19:45

1.Выполнил скрипт,
2.пофиксил (не нашел строку O2 - BHO: (no name) - {59B77E0C-0EC9-4CB9-98C0-B018354DAF82} - C:\WINDOWS\system32\cscu.dll (file missing))

беспокоит (может зря) что avp.exe присутствует дважды в процессах под SYSTEM и именем пользователя