Нечто рассылает спам с моего компа

[eugene_fomin]

Добрый день! Замучился уже со своей заразой. Очень рассчитываю на вашу помощь!

Вирус активизируется в момент подключения к сети. Активность вируса я обнаружил всвязи с попытками Symantec проверять каждое отправляемое сообщение. После отключения "ненужных" процессов из списка, вирус утихал, рассылка прекращалась.

Сначала мой антивирус (Symantec) отлавливал два вируса Trojan.Pandex (каждый раз новый файл в папке Temp) и Trojan.Horse (smtpdrv.sys), в списке процессов появлялся неучтенный iexplorer.exe. Убивал iexplorer.exe из процессов, все утихало. Прочитал как лечить эти вирусы, удалил все что они понасоздавали в реестре и на диске, прогнал сканирование - все вроде чисто.

После чего стал ловится только Trojan.Pandex, спамерство продолжилось, в процессах запускался svchost.exe в момент подключения к сети. Убивал этот svchost.exe из процессов, все утихало.

Прогнал еще раз полный скан Symantec-ом и Trend-ом вроде ничего не нашел, а вирус опять трансформировался. Теперь больше ничего не вылавливается в момент подключения к сети и в процессах запускается svchost в 3-х экземплярах. Теперь для нормальной работы приходится убивать все три штуки.

Чего с этим дальше делать не понимаю, логи прилагаю.
Заранее спасибо.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Lqu62');
 SetServiceStart('Lqu62', 4);
 StopService('Chl51');
 SetServiceStart('Chl51', 4);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Lqu62.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Chl51.sys','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\LogCrypt.dll','');
 DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Chl51.sys');
 DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
BC_ImportALL;
BC_DeleteSvc('Chl51');
BC_DeleteSvc('Lqu62');
BC_DeleteSvc('smtpdrv');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=18174).
Сделайте новые логи.

[eugene_fomin]

Спасибо за оперативность!
Карантин выложил, логи повторно прилагаю.

Пока продолжаю спамить ...

[rubin]

Email-Worm.Win32.Agent.e C:\WINDOWS\system32\WLCtrl32.dll
Trojan.Win32.Agent.eub C:\WINDOWS\system32\LogCrypt.dll
Логи сейчас гляну

Добавлено через 6 минут

Выполните:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 RegKeyDel('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\','Lqu62');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WLCtrl32');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\LogCrypt');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
 DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
 BC_DeleteFile('C:\WINDOWS\system32\LogCrypt.dll');
 BC_DeleteSvc('Lqu62');
 BC_DeleteSvc('symlcbrd');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Лог virusinfo_syscure повторите

Добавлено через 13 минут

Скрипт исправил... если еще не выполнили старый

[eugene_fomin]

Выполнил старый.
Этот выполнять?

[rubin]

Нет уже... делайте новые логи, симантек работает?

[eugene_fomin]

Symantec работает, логи прилагаю

[rubin]

Скачайте .... меню File - файл C:\WINDOWS\system32\Drivers\Lqu62.sys -force delete ...
затем выполните скрипт авз ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 RegKeyDel('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\','Lqu62');
 RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WLCtrl32');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 BC_DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Lqu62.sys');
 BC_DeleteSvc('Lqu62');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

[eugene_fomin]

Уф, вроде утихла рассылка. Что-нибудь еще надо сделать?

[rubin]

Повторить логи с п.10 Правил

[eugene_fomin]

Выкладываю ...

[rubin]

Все чисто

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\logcrypt.dll - Trojan.Win32.Agent.eub (DrWEB: Trojan.DownLoader.46414)
  2. c:\\windows\\system32\\wlctrl32.dll - Email-Worm.Win32.Agent.e (DrWEB: Trojan.DownLoader.47421)