Заражение LDPinch.

[Keo]

Комп стал вести себя не очень хорошо. При проверке Cureit выяснилось что заражен LDPinch-ем. Cureit их вычистил. Что еще нужно исправить что бы вычистить все хвосты. И какой антивирус лучше использовать? Сейчас стоит Symantec 10.1 и + снаружи закрыты порты ненужные на шлюзе. Но судя по всему все равно вирусы проходят. Может имеет смысл на прокси повесить антивирус сканирующий трафик?

[wise-wistful]

Пароли надеюсь все сменили.

[V_Bond]

C:\WINDOWS\system32\userinit.exe - пришлите на всякий случай .... согласно приложения 3 правил ...

[Keo]

Выслал. При поиске этого файла обнаружилось два файла один в dllcache. У того который находится в dllcache дата модификации 17.08.2004 а у другого 12.03.2008. Выслал который 12.03.08

[V_Bond]

C:\WINDOWS\system32\userinit.exe - DR/Delphi.Gen нужно заменить на чистый из дистрибутива ...

[Keo]

Тот который находится в dllcache подойдет? И взять просто заменить? процесс какой нибудь перед этим прерывать не надо?

Заменил. После перезагрузки появился файл userini.exe c датой модификации 12.03.2008...

[V_Bond]

замену нужно производить из косоли восстановления или с загрузочного диска ...
в dllcache должен быть чистый ....

[Keo]

А можно еще один файл прислать? что то мне он кажется подозрительным.

[V_Bond]

присылайте ....

[Keo]

Выслал

[V_Bond]

C:\WINDOWS\system32\vhosts.exe DR/Delphi.Gen
зверь похоже не активен .... но лучше удалим скриптом

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\vhosts.exe');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

virusinfo_syscheck.zip сделайте ....

[Keo]

Прикрепил.

[V_Bond]

выполните скрипт ...

begin
 QuarantineFile('C:\WINDOWS\PSEXESVC.EXE','');       
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

[Keo]

Я этим файлом пользуюсь. Это файл из PsTools. В принципе вроде жалоб нет больше. Спасибо большое.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\userinit.exe - Worm.Win32.Gadja.ar (DrWEB: Trojan.DownLoader.46299)
  2. c:\\windows\\system32\\vhosts.exe - Worm.Win32.Gadja.ar (DrWEB: Trojan.MulDrop.14013)