TheBest2007.scr - С моего номера аськи рассылаются сообщения со ссылкой на этот зараженный файл

[Pavel Taranenko]

Здравствуйте.
24 января по аське мне пришло сообщение от друга из контакт-листа.

Привет, смотри!!! :)
[DISINFECTED]
Классная вещь! :-)

Я скачал этот файл, попытался запустить.
1 февраля это сообщение было разослано с моего номера аськи
без моего ведома всем моим друзьям из контакт-листа.
Рассылка проведена 1 раз.

После этого я зашел в аську с другого компьютера и поменял пароль к ней.
После этого пока рассылок не было.

Архив содержит файл вида TheBest2007.scr.
NOD32 (базы от 01 февраля), cureit (базы от 30 января) и avz (с базами
от 27 января) вируса в этом файле не находят.

Он-лайн проверка касперским через сайт показывает, что файл заражен вирусом:
TheBest2007.scr - инфицирован Trojan-PSW.Win32.LdPinch.fhj

Помогите избавиться от этой заразы.

[Pavel Taranenko]

Архив с файлом, содержащим указанный вирус, отправлен:

Файл сохранён как 080201_232802_virus_47a3ff620b18d.zip
Размер файла 57106
MD5 2dd7c34ba80a5b763046d747f6783a33

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('d:\windows\system32\ufdsvc.exe','');
 QuarantineFile('D:\WINDOWS\system32\THEBES~1.SCR','');
 DeleteFile('D:\WINDOWS\system32\THEBES~1.SCR');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

[wise-wistful]

D:\WINDOWS\system32\TheBest2007.scr и D:\WINDOWS\system32\THEBES~1.SCR - Trojan-PSW.Win32.LdPinch.fhj Так, что меняйте все пароли.

[Pavel Taranenko]

Скрипт выполнил, карантин высылаю

Файл сохранён как 080202_015944_virus_47a422f0ac470.zip
Размер файла 144354
MD5 92555fcbcd0cd8f59c3e53592428c829

[Alex_Goodwin]

Повторите логи и поменяйте все пароли.

[Pavel Taranenko]

Прикрепляю новые логи.
После этого меняю пароли.
Можно ли лечение считать завершенным?

[Bratez]

Да, в логах все чисто.

Можно еще отключить все ненужное из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\\windows\\system32\\thebest2007.scr - Trojan-PSW.Win32.LdPinch.fhj (DrWEB: Trojan.PWS.LDPinch.3005)
  2. d:\\windows\\system32\\thebes~1.scr - Trojan-PSW.Win32.LdPinch.fhj (DrWEB: Trojan.PWS.LDPinch.3005)
  3. i:\\install\\antivirus\\scr\\thebest2007.scr - Trojan-PSW.Win32.LdPinch.fhj (DrWEB: Trojan.PWS.LDPinch.3005)