борьба со спам-ботом

[Merlin]

После заражения машины вирусом Wigon(Nod32), полезла куча соединений по 25 порту, из-за чего пришлось даже доставать IP из блэк-листов. Просьба помочь с проблемой!

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('Yfl85');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Yfl85.sys','');
 BC_DeleteSvc('smtpdrv');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 BC_DeleteSvc('Rxd52');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Rxd52.sys','');
 BC_DeleteSvc('Pvc63');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Pvc63.sys','');
 BC_DeleteSvc('Nty40');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Nty40.sys','');
 BC_DeleteSvc('Kpv84');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Kpv84.sys','');
 BC_DeleteSvc('Cin85');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Cin85.sys','');
 BC_DeleteSvc('Agl41');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Agl41.sys','');
 QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Agl41.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Cin85.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Kpv84.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Nty40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Pvc63.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Rxd52.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Yfl85.sys');
 DeleteFile('WLCtrl32.dll');
 DeleteFile('sysfldr.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Merlin]

карантин выслал...
привожу логи:

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
QuarantineFile('IfxWlxEN.dll','');
end.

Прислать карантин согласно приложения 3 правил .

Пофиксить

O20 - Winlogon Notify: sysfldr - C:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\

[Merlin]

begin
QuarantineFile('IfxWlxEN.dll','');
end

при попытке запуска выдает Ошибка: '.' expected в позиции 4:1

[Numb]

Опечатка. Попробуйте так:

begin
QuarantineFile('IfxWlxEN.dll','');
end.

[Merlin]

карантин выслал...
строки пофиксил...

[kps]

Можно еще один файлик на всякий случай проверить (не прошел по базе безопасных).
Выполните скрипт в AVZ:

begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
BC_ImportQuarantineList;
BC_Activate;
DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=20925 ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Вот это Вам знакомо? :
D:\rdp\HideRDPxButtoN.exe

[Гриша]

IfxWlxEN.dll-по версии Вирустотал Касперский его детектит,но мой KIS молчит.

[Merlin]

карантин выслал...

Вот это Вам знакомо? :
D:\rdp\HideRDPxButtoN.exe

да, это безопасная программка

[kps]

IfxWlxEN.dll-по версии Вирустотал Касперский его детектит,но мой KIS молчит.

Подождем ответа аналитиков.

[Гриша]

Подождем ответа аналитиков.

По-моему он уже приходил,вроде бы файл чистый,я немного запутался,сразу с 3 карантинами работал.

[Merlin]

вроде бы после проведенных операций все тихо, никто ни куда не лезет...

что по tcpip.sys слышно? все в порядке?

[kps]

Файл чистый.

[Merlin]

Спасибо большое за помощь!

[kps]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".