Спамер по неволе

**pechka** · 04.06.2008, 18:37

Здравствуйте! проблема такая: сразу после подключения начинает отсылаться почта.
Симантек постоянно сообщает об ошибках на почтовом сервере при отправке. Проверки антивирем и ad-adware впустую...
помогите! в диком цейтноте пора дописывать диплом! кляну всё на свете

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 04.06.2008, 19:36

скачайте C:\WINDOWS\System32\Drivers\Ggp88.sys - force delete
выполните скрипт ...

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{81DBAB16-CA34-c433-BE80-11E6692428A8}');
 QuarantineFile('csrcs.dll','');
 QuarantineFile('c:\f4irnn.exe','');
 QuarantineFile('C:\WINDOWS\system32\jtkz684.exe','');
 BC_DeleteSvc('ffO77');
 BC_DeleteSvc('eaM14');
 BC_DeleteSvc('ajT11');
 BC_DeleteSvc('Ggp88');
 BC_DeleteSvc('Windows Internet Security');
 QuarantineFile('c:\windows\system32\mbdis.exe','');
 BC_DeleteSvc('Google Online Services');
 QuarantineFile('C:\Documents and Settings\Katenka\ie_updates3r.exe','');
 BC_DeleteSvc('Microsoft Internet Explorer');
 QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Ggp88.sys','');
 QuarantineFile('C:\WINDOWS\system32\PRTdlink.dll','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Ggp88.sys');
 DeleteFile('C:\WINDOWS\system32\_svchost.exe');
 DeleteFile('C:\Documents and Settings\Katenka\ie_updates3r.exe');
 DeleteFile('c:\windows\system32\mbdis.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ggp88.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ajT11.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\eaM14.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ffO77.sys');
 DeleteFile('C:\WINDOWS\system32\jtkz684.exe');
 DeleteFile('c:\f4irnn.exe');
 DeleteFile('csrcs.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ..
повторите логи ...

**pechka** · 04.06.2008, 21:14

не все файлы были в avz карантине, т.к. некоторые подозрительные я удалила ещё до сканирования. все они(удаленные) в отдельном архиве с паролем, как в правилах:
Файл сохранён как080604_120110_Infected_4846ca56cf24a.zipРазмер файла63147MD5e0a19f19c3318f67af7d1a8acd50ff56

а новые логи в аттаче

**V_Bond** · 04.06.2008, 21:39

выполните скрипт ...

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('Ggp88');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ggp88.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

какие-то проблемы остались ?

**pechka** · 04.06.2008, 22:38

ура.проблема со спамом решилась!

смущают только 2 пустяка:
WinNt32.dll, WinCtrl32.dll и WLCtrl32.dll в system32. в первом (WinNt32.dll) тоталскан находит Trojan-Downloader.Win32.Mutant.acm.
но они удаляются и после ребута не восстанавливаются, как раньше..

Загрузившись Семантек сразу поместил в изолятор какие-то 2 непонятных файла "Trojan Horse". нет ни имен, ни путей к ним. что это может значить?)