троян...

[dex]

нашел у себя в смысле в компе ...
отсылаю логи

на тему форума: объявление в больнице - просьба больным не обмениваться симптомами болезней, это затрудняет постановку диагноза

[V_Bond]

выполните скрипт...

begin
 SearchRootkit(false, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Gdy53', 'Start');
 RebootWindows(true); 
end.

пофиксите....

O2 - BHO: (no name) - {17A54BFC-8214-4F5C-B1A7-A161BFA5FDCC} - (no file)
O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
O4 - HKUS\S-1-5-18\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe (User 'SYSTEM')
O20 - AppInit_DLLs: C:\WINDOWS\system32\mmsslsnls.dll

выполните скрипт...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\ntosnh.sys','');
 QuarantineFile('\WINDOWS\system32\ntoskrnl.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Gdy53.sys','');
 QuarantineFile('C:\WINDOWS\system32\ldr.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 DeleteFile('C:\WINDOWS\system32\mmsslsnls.dll');
 DeleteFile('C:\WINDOWS\system32\wsnpoem\video.dll');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\ldr.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\Gdy53.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ntosnh.sys');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
 DeleteFile(' c:\windows\system32\vhosts.exe');
 DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA ');
 BC_DeleteSvc('ntosnh.sys');
 BC_DeleteSvc('Gdy53');
 BC_DeleteSvc('FCI');
 BC_DeleteSvc('msupdate');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...
повторите логи ....

[dex]

повторные логи

[Shu_b]

А где карантин, присланный согласно приложения 3 правил ?...

[V_Bond]

выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
 QuarantineFile('C:\15E.tmp','');     
 DeleteFile('C:\15E.tmp');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи .....

[dex]

архив выслан
последний скрипт выполнять ?

[Bratez]

Разумеется.

[dex]

архив присылать целиком со всем предыдущим карантином или только
QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe', '');
QuarantineFile('C:\15E.tmp','');

[Bratez]

Пришлите только эти.

[dex]

повторные логи-2

[V_Bond]

C:\15E.tmp Trojan.Win32.Small.ux
ntoskrnl.exe скорее чистый .... дождемся ответ вирлаба ....

[dex]

пока ждал ответа от вирлаба - обновил zonealarm
спустя пару минут он мне выдал сообщение что AVZ.EXE заражен
win32/vmalum.btae
удлил его, думал из архива свежачок достану ...
там тоже заражен

дармовой сыр только в мышеловке ...

[V_Bond]

кажется проблемы у вашего zonealarm .... пришлите архив с AVZ ...на всякий случай ...

[dex]

в только что скаченном AVZ архиве тот же зверь

[V_Bond]

ложное срабатывание вашего zonealarm ... их вирусные аналитики видимо прзднуют чего-то
можно поверить нормальными антивирусами http://www.virustotal.com/ru/

[dex]

отправил архив с avz

Добавлено через 2 минуты

хммм
лучше перебдеть чем недобдеть ))))
а если они там в zonealarm уже знают что-то чего остальные не знают ? )))

[V_Bond]

скорее не знают ....

[dex]

залил архив целиком на http://www.virustotal.com/ru/
результат таков я бы сказал странный !!!! ))))
eSafe - - suspicious Trojan/Worm
F-Prot - - W32/Backdoor.CARJ
Prevx1 - - Heuristic: Suspicious File With Outbound Communications
я так понимаю это результаты сканирования разными антивирами ?

[V_Bond]

да ... все нормально никто из серьезных вендоров ничего не заподозрил ...

[dex]

ок а что с моими последними логами ?