Неизвестный роян

[filipok]

Вообщем поймал я трояна походу.

Вылетает окно - "System Error!" с текстом "Your computer was infected by unknown trojan. It's dangerous for your system (critical files can be lost). Click OK to download the antispyware program to clean your system (Recomended)
при нажатии на "да" пытается слить файл setupX.exe где X - порядковый номер соответствующий количеству нажатых "да" (проверено эксперементально)

пробовал убить NODом - ничего не видит, spyBot - видит какойто троян удаляет его но всё появляется снова (табличка с сообщением)
AVZ - находит какието трояны и setup1.exe (жена успела один файл загрузить) - типа всё удаляет но проблема остаётся (хотя теперь загружать просит просто setup.exe при нажатии "да" в вышеописанном окне)

вообщем последовал вашим правилам - залил логи (тока логи после 3-го прогона, тоесть в последующие разы AVZ уже ничего не находил а проблема вроде как есть 8()

ну надеюсь вы сможете мне помочь даже в таком случае, очень надеюсь.

Заранее огромное спасибо.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\dsaip32b.dll','');
 QuarantineFile('c:\windows\system32\cftmon.exe','');
  DelBHO('{687A466A-D7CB-4FDF-965C-92462A82D7F0}');
 DeleteFile('C:\WINDOWS\dsaip32b.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

[filipok]

Доброго времени суток, вроде всё удалилось, по крайней мере талбичка не вылетает. Хотя я по началу даже и не понял чем вредит cftmon.exe, тока потом заметил что буквы местами поменены
гад круто замоскировался, а я уж думал как он проник в автозагрузку.

Тока cftmon.exe из автозагрузки не убирался, пришлось ручками.

Логи прилогаю, СПАСИБО

[V_Bond]

пофиксите ...

O2 - BHO: Media Player Codec - {687A466A-D7CB-4FDF-965C-92462A82D7F0} - C:\WINDOWS\dsaip32b.dll (file missing)
O16 - DPF: {33331111-1111-1111-1111-615111193427} -

выполните скрипт .....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{687A466A-D7CB-4FDF-965C-92462A82D7F0}');
 DeleteFile('C:\WINDOWS\dsaip32b.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи начиная с пункта 10 правил ....

[filipok]

Фсё сделал, фсё высылаю.......

[V_Bond]

в логах ничего подозрительного ....
какие-то проблемы остались ?

[filipok]

ну что то в последней проверке АВЗ было много красных строк, на против некоторых было написано что безопасные приложения (это фаервол, вчера поставил)
а остальные просто были выделены красным.

А так явных признаков вируса с окном (давайте я так его назову ) нет, по крайней мере в фаервол кроме стандартных прог никто не стучится.

Обновил базы нода (это у меня происходит по воскресениям ) после сканирования нашёл ещё пару подозрительных файлов, вроде удалил
могу прислать имя заразы после перезагрузки (а то всё выгрузил когда логи делал)

вроде всё, замечаний нет Спасибо
Есть тока вопрос а откуда вы знаете что есть зараза и как её выкавыривать?

Добавлено через 10 минут

Вот C:\Documents and Settings\Anton\Local Settings\Temp\file795.exe Win32/Adware.IeDefender.NCM

и ещё после перезагрузки когда винда пишет "Лог Офф" вылетает мессага что то типа того что не может завершить работу драйвера диска А:
ну это НАВЕРНОЕ не вирус

Вообщем спасибо огромное за то что избавили от нудной переустановки системы (я уже было сибирался), ну и от вируса конечно (что в принципе равносильно)

[V_Bond]

ну что то в последней проверке АВЗ было много красных строк, на против некоторых было написано что безопасные приложения (это фаервол, вчера поставил)
а остальные просто были выделены красным.

это нормально ...

и ещё после перезагрузки когда винда пишет "Лог Офф" вылетает мессага что то типа того что не может завершить работу драйвера диска А:
ну это НАВЕРНОЕ не вирус

попробуйте оключить А: в биос ...

[filipok]

так я им пользуюсь (бивиса перепрошить например), конечно бывает не часто но всётаки

[V_Bond]

отключите временно ... проблема должна исчезнуть ...

[filipok]

убрал, всё прошло (ну по крайней мере не выдало сообщение после перезагрузки, правда она и так его выдавала не всегда)

спасибо

так всё таки откуда вы знаете что зараза а что нет?

[wise-wistful]

"И опыт сын ошибо трудных,
И гений, парадоксов друг.."

Нам интересно Ваше мнение о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Удачи и чистого Вам интернета

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\dsaip32b.dll - Hoax.Win32.Renos.bhw (DrWEB: Trojan.DownLoader.54115)
  2. c:\\windows\\system32\\cftmon.exe - Trojan-Clicker.Win32.Agent.wt (DrWEB: Trojan.Packed.194)