Непонятный файл svho.exe

[DJRelax]

Вообщем ситуация такая. Сегодня стал блокироватся весь трафик http и почты. Вычислил из-за чего, оказалось виноват файл svho.exe в системной папке винды ХП2. Он мало того блокировал трафик, так еще и прослушивал фтп порты:


Если файл переместить в другой каталог, то при запуске он сам себя перемещает в системную папку.
Высылать файл на анализ или кто нить знает что это такое. Да и еще ни NOD32, ни Касперский, ни AVZ на него ничего не сказали. У всех базы новые.

Да и еще он сам себя в автозагрузку ставит. В автозагрузке он себя обзывает "System Service Manager Device". Еще он сам себя сделал скрытым файлом и поставил атрибут "Только для чтения". Вот ведь гад какой.

[SuperBrat]

Выполните правила, вам помогут:
http://virusinfo.info/showthread.php?t=1235

[DJRelax]

Мне помощь не нужна, я от него избавился. Я предлогаю файл для анализа. За точто картинку опубликовал в сообщение, сорри, просто окно добавления файлов к сообщению у меня не открывалось, как оказалось из-за этого файлика.

[SuperBrat]

Тогда можно сюда:
http://z-oleg.com/secur/avz/uploadvir.php
Но правила лучше выполнить, зараза по одиночке не ходит. И вам спокойней будет.

[DJRelax]

Еще что удалось выяснить: На компе который заразился так же появился файлик в автозагрузке "msmsgrs.exe" который находился в папке винды и видимо он и был начальным файлом. Так как если даже удалить "svho.exe" то все равно после перезагрузки он появляется и стартует и еще к тому же создает в корне загрузочного диска файлы вида: "00000a.exe", "0000a.exe", это его копии переименнованые. И пока не удалить файл "msmsgrs.exe", то все это будет повторятся.
Прикрепил логи. Правда в них ничего существенного, так три антивируса(включая AVZ) ничего не нашли. Файл карантина AVZ пустой. Если потребуется могу и файл "msmsgrs.exe" выложить/отправить.

[AndreyKa]

msmsgrs.exe пришлите также как отсылали svho.exe
А логи надо было делать после того как эти файлы удалили.

Пофиксте в HijackThis следующие строки:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

[DJRelax]

Файл выслал. Я так понял логи уже на чистой системе надо было делать?

[V_Bond]

msmsgrs.exe IM-Worm.Win32.Agent.aw
выполните скрипт....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\windows\msmsgrs.exe');
 DeleteFile('c:\windows\system32\svho.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. e:\\-=work=-\\анализ файлов\\svho\\msmsgrs.exe - IM-Worm.Win32.Agent.aw (DrWEB: BackDoor.IRC.Sdbot.2236)
  2. \\svho.exe - Backdoor.Win32.Rbot.gcg (DrWEB: BackDoor.IRC.Rxbot)