Троян запускает SMTP Сессии под SVCHost

[Loki3d]

Система Windows 2000 SP4, Установлен IIS с поддержкой .ASP.
Есть предположение что Сломали IIS и подсадили Вирус.
Антивируса на машине нет, заметили неладное по трафику на 25-м порту.
Я поставил локально Zone Alarm чтобы посмотреть что за приложение будет долбиться наружу.
Написали svchost:smtp.
проверка системы Авиром ZA результата не дала.
Помогите избавиться от Трояна. и если есть опыт, подскажите как залатать дыру?. я планирую ставить все возможные подходящие обновления на IIS и Win. Очень надеюсь на помощь. Спасибо

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('E:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\8ZGR2NQ9\loader[1].exe','');
 QuarantineFile('E:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SZYNQ3GN\file4[1].exe','');
 QuarantineFile('E:\CB.tmp','');
 QuarantineFile('C:\Temp\hdC6.tmp','');
 QuarantineFile('C:\WINNT\system32\rpcc.dll','');
 QuarantineFile('WLCtrl32.dll','');
 QuarantineFile('c:\C7.tmp/r','');
BC_DeleteSvc('Vaq40');
 QuarantineFile('E:\WINNT\System32\Drivers\Vaq40.sys','');
BC_DeleteSvc('Mmp70');
 QuarantineFile('E:\WINNT\System32\Drivers\Mmp70.sys','');
 DeleteFile('E:\WINNT\System32\Drivers\Mmp70.sys');
 DeleteFile('Ncrc710.sys');
 DeleteFile('E:\WINNT\System32\Drivers\Vaq40.sys');
 DeleteFile('WLCtrl32.dll');
 DeleteFile('C:\WINNT\system32\rpcc.dll');
 DeleteFile('C:\Temp\hdC6.tmp');
 DeleteFile('E:\CB.tmp');
 DeleteFile('E:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SZYNQ3GN\file4[1].exe');
 DeleteFile('E:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\8ZGR2NQ9\loader[1].exe');
 DeleteFile('c:\C7.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Loki3d]

я воспользовался DRWEb-ом а именно приложением cureit.exe
и в ручную поудалял некоторые файлы. Не расчитывал что ответ в форуме будет так быстро, а на мозг капали.

я выполнил приложенный скрипт.
Сформировал Архив Карантина
прогнал AVZ еще раз.

[V_Bond]

пофиксите ...

O20 - Winlogon Notify: rpcc - E:\WINNT\

какие-то проблемы остались ?

[Loki3d]

Нет.. больше проблем нету. Активность трояна прекратилась.
Большое спасибо За помощь

[kps]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\temp\\hdc6.tmp - Trojan-Proxy.Win32.Dlena.en (DrWEB: Trojan.Spambot)
  2. c:\\winnt\\system32\\rpcc.dll - Trojan-Proxy.Win32.Dlena.en (DrWEB: Trojan.Spambot)
  3. e:\\winnt\\system32\\rpcc.dll - Trojan-Proxy.Win32.Dlena.en (DrWEB: Trojan.Spambot)