cftmon.exe

[AL34]

Этот процес "cftmon.exe" появляется в процессах примерно в количестве 5 штук. как я посмотрел достаточно распранненая проблема.

[rubin]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\DOCUME~1\AL34\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\ftpdll.dll','');
 QuarantineFile('C:\WINDOWS\system32\mplink.dll','');
 QuarantineFile('c:\windows\system32\drivers\spools.exe','');
 QuarantineFile('c:\documents and settings\al34\local settings\application data\cftmon.exe','');
 DeleteFile('c:\documents and settings\al34\local settings\application data\cftmon.exe');
 DeleteFile('c:\windows\system32\drivers\spools.exe');
 DeleteFile('C:\WINDOWS\system32\ftpdll.dll');
 DeleteFile('C:\DOCUME~1\AL34\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\ftpdll.bak');
 DeleteFile('C:\WINDOWS\system32\mplink.dll');
 BC_ImportAll;
 BC_DeleteSvc('Schedule');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=18779

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O4 - HKLM\..\Run: [autoload] C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe
O4 - HKLM\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe
O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\AL34\LOCALS~1\Temp\winlogon.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\AL34\Local Settings\Application Data\cftmon.exe
O4 - HKCU\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe
O20 - Winlogon Notify: mplink - C:\WINDOWS\SYSTEM32\mplink.dll

3. Повторите логи с п.10 Правил

[AL34]

Спасибо проблема решена!!!

[rubin]

Рано! Повторите логи с п.10 Правил

[akok]

virusinfo_cure.zip - это карантин удалите!
Карантин грузим по ссылке
http://virusinfo.info/upload_virus.php?tid=18779

[AL34]

новые логи залиты.

[akok]

C:\WINDOWS\system32\mplink.dll - Backdoor.Win32.Agent.eqw
c:\windows\system32\drivers\spools.exe - Backdoor.Win32.Agent.etc
c:\documents and settings\al34\local settings\application data\cftmon.exe - Backdoor.Win32.Agent.etc

Добавлено через 2 минуты

новые логи залиты.

Уфф давайте отделим курицу от яйца.....логи постим в сообщение, а карантин заливаем по ссылке сверхувирлабу ваши логи совсем не нужны.

Добавлено через 3 минуты

Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

 
O20 - Winlogon Notify: mplink - mplink.dll (file missing)

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 BC_ImportDeletedList;
 DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
 DeleteFile('mplink.dll');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Повторить логи с п.10 Правил

[AL34]

залил

[akok]

C:\Documents and Settings\AL34\Рабочий стол\H\1.bat - это Вам знакомо?
Если да, то не вижу ничего подозрительного.

[AL34]

C:\Documents and Settings\AL34\Рабочий стол\H\1.bat - это Вам знакомо?
Если да, то не вижу ничего подозрительного.

Да это HijackThis я так распаковал просто случайно.
Спасибо за все!!!!

[rubin]

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 31
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\al34\\local settings\\application data\\cftmon.exe - Worm.Win32.Socks.e (DrWEB: Trojan.DownLoader.4936
  2. c:\\documents and settings\\localservice\\local settings\\application data\\cftmon.exe - Worm.Win32.Socks.e (DrWEB: Trojan.DownLoader.4936
  3. c:\\windows\\system32\\drivers\\spools.exe - Worm.Win32.Socks.e (DrWEB: Trojan.DownLoader.4936
  4. c:\\windows\\system32\\mplink.dll - Backdoor.Win32.Agent.eqw (DrWEB: Trojan.PWS.GoldSpy)