Убить трояна-комп рассылает спам

[Nameless_54]

Лечение установленным Симантеком и CureIt'ом не помогло. Файлы прикрепил.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\W\system32\wind32.exe','');
 QuarantineFile('M1000Rmv.exe','');
 QuarantineFile('C:\W\system32\wupdmng.exe','');
 QuarantineFile('WinNt32.dll','');
 BC_DeleteSvc('tcpsr');
 QuarantineFile('C:\W\System32\drivers\tcpsr.sys','');
 BC_DeleteSvc('nuB63');
 QuarantineFile('C:\W\System32\drivers\nuB63.sys','');
 BC_DeleteSvc('agM41');
 QuarantineFile('C:\W\System32\drivers\agM41.sys','');
 QuarantineFile('c:\w\runservice.exe','');
 DeleteFile('C:\W\System32\drivers\agM41.sys');
 DeleteFile('C:\W\System32\drivers\nuB63.sys');
 DeleteFile('C:\W\System32\drivers\tcpsr.sys');
 DeleteFile('WinNt32.dll');
 DeleteFile('M1000Rmv.exe');
 DeleteFile('C:\W\system32\wind32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Nameless_54]

Повторяю логи

[drongo]

C:\W\system32\wind32.exe- Email-Worm.Win32.Zhelatin.zj (kaspersky)
C:\W\system32\WinNt32.dll -Trojan-Downloader.Win32.Mutant.acm (kaspersky)
C:\W\system32\wupdmng.exe- свежий троян
c:\w\runservice.exe-свежий троян

[Bratez]

Пофиксите в HijackThis:

O20 - Winlogon Notify: reset5 - C:\W\SYSTEM32\reset5.dll
O20 - Winlogon Notify: WinNt32 - C:\W\

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\W\system32\clvsdg.exe','');
 DeleteFile('C:\W\system32\wupdmng.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.

[drongo]

Вот это сделайте потом

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
 QuarantineFile('C:\W\system32\Drivers\GLOGODrv.sys','');
 QuarantineFile('C:\W\System32\drivers\WINDRVR.SYS','');
 QuarantineFile('C:\W\system32\wupdmng.exe','');
 QuarantineFile('C:\W\system32\clvsdg.exe','');
 QuarantineFile('C:\W\system32\DRIVERS\rksample.sys','');
 QuarantineFile('C:\W\system32\DRIVERS\basic2.sys','');
 QuarantineFile('C:\W\System32\DRIVERS\tcpip.sys','');
 QuarantineFile('C:\W\system32\drivers\sptddrv1.sys','');
 TerminateProcessByName('c:\w\system32\wupdmng.exe');
 TerminateProcessByName('c:\w\runservice.exe');
 DeleteFile('C:\W\system32\clvsdg.exe');
 DeleteFile('c:\w\runservice.exe');
 DeleteFile('c:\w\system32\wupdmng.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.

, карантин новый загрузить.

[Nameless_54]

Ощущение, что первоначально загрузил старый архив

Вот это сделайте потом
...
, карантин новый загрузить.

После перезагрузки вылезла такая хня:
Восстановление Active Desktop
Произошла непредвиденная ошибка Windows. В качестве предосторожности был отключен рабочий стол Active Desktop. Для восстановления Active Desktop выполните следующие действия:
Перестал работать обозреватель, или же вы перезагрузили компьютер, не завершив работу Windows? В этом случае нажмитеи т.д.

[Bratez]

Ну там же есть, что нажать для восстановления раб. стола. Не помогает?

[Nameless_54]

Да не, помогло Просто не двигался без команды старших по званию

[Nameless_54]

Хотелось бы понять, окончательный вердикт по последним карантинам будет?

[Bratez]

clvsdg.exe - Trojan.Win32.Inject.cpd

Сделайте новые логи, начиная с п.10 правил.

[Nameless_54]

Логи сделал

[V_Bond]

новый день - новая гадость .
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('asc3550p');
 QuarantineFile('C:\Documents and Settings\Борис.QQ\cftmon.exe','');
 BC_DeleteSvc('WMPNetworkSvcFastUserSwitchingCompatibility');
 QuarantineFile('C:\W\system32\icsxmlp.exe','');
 BC_DeleteSvc('COMSysAppccPwdSvc');
 QuarantineFile('C:\W\system32\c_1252y.exe','');
 BC_DeleteSvc('Schedule');
 QuarantineFile('\W\system32\ntkrnlpa.exe','');
 QuarantineFile('C:\W\system32\WinCtrl32.dll','');
 QuarantineFile('C:\W\system32\drivers\spools.exe','');
 QuarantineFile('c:\w\system32\drivers\spools.exe','');
 DeleteFile('c:\w\system32\drivers\spools.exe');
 DeleteFile('C:\W\system32\drivers\spools.exe');
 DeleteFile('C:\W\system32\WinCtrl32.dll');
 DeleteFile('C:\W\system32\c_1252y.exe');
 DeleteFile('C:\W\system32\icsxmlp.exe');
 DeleteFile('C:\Documents and Settings\Борис.QQ\cftmon.exe');
 DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Nameless_54]

Ув. хэлперы, меня вот что беспокоит - сегодня поставил ProcessGuard, заменил Atguard на Outpost. Может быть не надо было этого делать, а дождаться конечного рез-та вашей работы?

[V_Bond]

выполните скрипт...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\cftmon.exe','');
 QuarantineFile('C:\Documents and Settings\Соня.QQ\cftmon.exe','');
 QuarantineFile('C:\Documents and Settings\Наташа.QQ\Local Settings\Temporary Internet Files\Content.IE5\O36Z21A1\windd[1].exe','');
 QuarantineFile('C:\Documents and Settings\Наташа.QQ\Local Settings\Temp\E.tmp','');
 DeleteService('asc3550p');
 BC_DeleteSvc('Schedule');
 QuarantineFile('asc3550p.sys','');
 DeleteFile('C:\W\system32\DRIVERS\asc3550p.sys');
 DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\cftmon.exe');
 DeleteFile('C:\Documents and Settings\Наташа.QQ\cftmon.exe');
 DeleteFile('C:\Documents and Settings\Наташа.QQ\Local Settings\Temp\E.tmp');
 DeleteFile('C:\Documents and Settings\Наташа.QQ\Local Settings\Temporary Internet Files\Content.IE5\O36Z21A1\windd[1].exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Nameless_54]

Выполняю ...
Загружаю ...
Повторяю ...

[Alex_Goodwin]

было:
cftmon.exe - Worm.Win32.AutoRun.eav
icsxmlp.exe - Trojan.Win32.Inject.cpd
WinCtrl32.dll - Trojan-Downloader.Win32.Mutant.adg

[Nameless_54]

Поставил Касперского. Нашел 23 троянца/вируса. Вот новые логи.

[V_Bond]

пофиксите ..

O20 - Winlogon Notify: WinCtrl32 - C:\W\

выполните скрипт ...

begin
 BC_DeleteSvc('asc3550p');
 BC_Activate;
 RebootWindows(true);
end.

повторите логи начиная с пункта 10 правил ...

[Nameless_54]

Фиксю ...
Выполняю ...
Повторяю логи ...