неубиваемый msftp.dll

[nestorsax]

Avira AntiVir находит и убивает трояны TR/Dldr.Small.hwc(msftp.dll) в system32 и в Documents and Settings.А после перезагрузки они(msftp.dll) появляются на тех же местах.Что делать?

[akok]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('sysfldr.dll','');
 QuarantineFile('C:\WINDOWS\RTHDCPL.EXE','');
 QuarantineFile('C:\WINDOWS\mmhren1.exe','');
 QuarantineFile('Qlse802mmt.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Flr18.sys','');
 QuarantineFile('C:\WINDOWS\system32\LogCrypt.dll','');
 QuarantineFile('c:\windows\system32\drivers\spool.exe','');
 QuarantineFile('c:\documents and settings\nestor\local settings\application data\cftmon.exe','');
 DeleteFile('c:\documents and settings\nestor\local settings\application data\cftmon.exe');
 DeleteFile('c:\windows\system32\drivers\spool.exe');
 DeleteFile('C:\WINDOWS\mmhren1.exe');
 DeleteFile('sysfldr.dll');
 BC_Activate;
 BC_ImportALL;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=17853

Добавлено через 1 минуту

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

 
O4 - HKLM\..\Run: [autoload] C:\Documents and Settings\nestor\Local Settings\Application Data\cftmon.exe
O4 - HKLM\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spool.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\nestor\Local Settings\Application Data\cftmon.exе
O4 - HKCU\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spool.exe
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)

Повторите логи

[nestorsax]

Большое спасибо! К сожалению таких строк в проге нет(есть похожие). правда при перезагрузке msftp.dll не появились! сканирую - может убились уже?

[Макcим]

Логи повторите.

[nestorsax]

вот новые логи

[wise-wistful]

Где вот?

[nestorsax]

вот логи

[wise-wistful]

cftmon.exe_, spool.exe_ - Trojan-Downloader.Win32.Small.iih,
LogCrypt.dll - Trojan.Win32.Agent.eub
Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('Flr18', 4);
 StopService('Flr18');
 DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
 DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Flr18.sys');
  DeleteService('Flr18');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Профиксите

O20 - Winlogon Notify: sysfldr - C:\WINDOWS\

Повторите логи.

[nestorsax]

falar portuges..?

[Bratez]

falar portuges..?

Не, мы на португальском нихт ферштейн .

[nestorsax]

стало намного лучше! я уж думал придется сносить винду

Добавлено через 42 секунды

спасибо!

Добавлено через 4 минуты

теперь наверно нужно включить восстановление системы и контрольную точку

[Bratez]

Нет, теперь логи надо сделать!

[pig]

Нет, сначала контрольный выстрел, то есть, новые логи.

[nestorsax]

новые логи

[drongo]

Логами не ошиблись случайно? Или скрипт в http://virusinfo.info/showpost.php?p=186201&postcount=8 не выполняли ?

[nestorsax]

выполнил. потом автоматичеки перегрузился комп

Добавлено через 2 минуты

а что именно не так?

[drongo]

а в логах те же гадости остались, наверно перепутали когда загружали.

[nestorsax]

нет. это именно те логи(предыдущие я специально удалил чтоб не перепутать). может имеет смысл ещё раз выполнить скрипт?

Добавлено через 2 минуты

на них же дата сознания есть

Добавлено через 23 минуты

делаю новые логи

[wise-wistful]

Давайте так.
Вначале профиксите

O20 - Winlogon Notify: LogCrypt - C:\WINDOWS\SYSTEM32\LogCrypt.dll

Затем в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('Flr18', 4);
 StopService('Flr18');
 DeleteFile('C:\WINDOWS\System32\Drivers\Flr18.sys');
 DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
 DeleteFile('LogCrypt.dll');
BC_DeleteSvc('Flr18');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи.

[nestorsax]

Остановка служб Windows с помощью HjJackThis

Для того чтобы пофиксить строку начинающуюся с O23 надо:
1. Запустить HijackThis.
2. Нажать кнопку Open The Misc Tools section
3. Нажать кнопку Delete an NT Service
4. В открывшемся диалоге ввести название службы
aspi113210
5.Нажать кнопку OK
а это всё надо делать?