Is the Trojan horse TR/Patched.O.2

[Klirens]

AVIRA обнаружил вирус TR/Patched.O.2.
Ни Cureit ни Каспер не видят его. Создается файл advapi32.$$$ при перезагрузке. В безопасном режиме AVIRA вроде убил его:

AntiVir PersonalEdition Classic
Report file date: 9 января 2008 г. 21:50
Scanning for 1017553 virus strains and unwanted programs.
Licensed to: Avira AntiVir PersonalEdition Classic
Serial number: 0000149996-ADJIE-0001
Platform: Windows XP
Windows version: (Service Pack 2) [5.1.2600]
Username: Финансист
Computer name: FINANSIST
Version information:
BUILD.DAT : 270 15603 Bytes 19.09.2007 13:32:00
AVSCAN.EXE : 7.0.6.1 290856 Bytes 06.09.2007 07:49:25
AVSCAN.DLL : 7.0.6.0 49192 Bytes 06.09.2007 07:49:25
LUKE.DLL : 7.0.5.3 147496 Bytes 06.09.2007 07:49:26
LUKERES.DLL : 7.0.6.1 10280 Bytes 06.09.2007 07:49:26
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 06:18:45
ANTIVIR1.VDF : 7.0.1.95 3367424 Bytes 14.12.2007 07:14:58
ANTIVIR2.VDF : 7.0.1.205 620544 Bytes 08.01.2008 08:02:16
ANTIVIR3.VDF : 7.0.1.209 14336 Bytes 09.01.2008 08:02:16
AVEWIN32.DLL : 7.6.0.46 3084800 Bytes 20.12.2007 07:14:16
AVWINLL.DLL : 1.0.0.7 14376 Bytes 20.04.2007 13:27:25
AVPREF.DLL : 7.0.2.2 25640 Bytes 06.09.2007 07:49:25
AVREP.DLL : 7.0.0.1 155688 Bytes 20.04.2007 13:27:27
AVPACK32.DLL : 7.6.0.2 360488 Bytes 20.12.2007 07:14:16
AVREG.DLL : 7.0.1.6 30760 Bytes 06.09.2007 07:49:25
AVARKT.DLL : 1.0.0.20 278568 Bytes 06.09.2007 07:49:22
AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 06.09.2007 07:49:22
NETNT.DLL : 7.0.0.0 7720 Bytes 20.04.2007 13:27:26
RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 06.09.2007 07:49:18
RCTEXT.DLL : 7.0.62.0 86056 Bytes 06.09.2007 07:49:18
SQLITE3.DLL : 3.3.17.1 339968 Bytes 06.09.2007 07:49:26
Configuration settings for the scan:
Jobname..........................: ShlExt
Configuration file...............: C:\DOCUME~1\A1BB~1\LOCALS~1\Temp\e9cb70bb.avp
Logging..........................: low
Primary action...................: interactive
Secondary action.................: ignore
Scan master boot sector..........: off
Scan boot sector.................: on
Boot sectors.....................: C:,
Scan memory......................: on
Process scan.....................: off
Scan registry....................: off
Search for rootkits..............: off
Scan all files...................: Intelligent file selection
Scan archives....................: on
Recursion depth..................: 20
Smart extensions.................: on
Macro heuristic..................: on
File heuristic...................: medium
Start of the scan: 9 января 2008 г. 21:50
Starting the file scan:
Begin scan in 'C:\WINDOWS\system32'
C:\WINDOWS\system32\advapi32=.VIR
[DETECTION] Is the Trojan horse TR/Patched.O.2
[INFO] The file was deleted!

End of the scan: 9 января 2008 г. 21:54
Used time: 04:08 min
The scan has been done completely.
191 Scanning directories
6362 Files were scanned
1 viruses and/or unwanted programs were found
0 Files were classified as suspicious:
1 files were deleted
0 files were repaired
0 files were moved to quarantine
0 files were renamed
0 Files cannot be scanned
6361 Files not concerned
4 Archives were scanned
0 Warnings
0 Notes


При загрузке в нормальный режим - снова он.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\termsrv.dll','');
 QuarantineFile('C:\WINDOWS\System32\lsp.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

Добавлено через 2 минуты

У вас, если не ошибаюсь, Крипто про установлен?
Это похоже его проделки, а Avira просто не понимает юмора

[Klirens]

Архив отослал.
Крипто установлен.

[Bratez]

Файлы в карантине чистые. Пришлите по правилам этот advapi32.$$$.

[Klirens]

Файл сохранён как 080110_064332_advapi_478612f4d47bc.zip
Размер файла 453830
MD5 48a4b34ae7a0a313fa42ebcee147b0f7

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены