маил вара поймал

[denison]

Собственно сабж. Архив с вирусом сейчас прикреплю.

Еще такой вопрос:
Фаирвол около месяца не регистрирует никаких атак, нетбиос запросов и вообще не видит никакой сетевой активности кроме своих программ, работающих через интернет (браузер, обновления и тд.). Это нормально? Пробовал ставить другую версию этого же фаирвола (Outpost), ставил другие фаирволы, везде тоже самое.

Прикрепил вирусный архив.

[kps]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\mchInjDrv.sys','');
 QuarantineFile('C:\Documents and Settings\ь.ъъъ.ь\Application Data\Mozilla\Firefox\Profiles\r85w5c7d.default\extensions\firebit@firebit\components\firebit.dll','');
 DeleteFile('C:\Documents and Settings\ь.ъъъ.ь\Application Data\Mozilla\Firefox\Profiles\r85w5c7d.default\extensions\firebit@firebit\components\firebit.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=24556 ).

Вот это Вам знакомо?

O17 - HKLM\System\CCS\Services\Tcpip\..\{8057BCAC-FDFC-4282-80BC-10B8EDAC9513}: NameServer = 10.0.0.45
O17 - HKLM\System\CS1\Services\Tcpip\..\{8057BCAC-FDFC-4282-80BC-10B8EDAC9513}: NameServer = 10.0.0.45
O17 - HKLM\System\CS2\Services\Tcpip\..\{8057BCAC-FDFC-4282-80BC-10B8EDAC9513}: NameServer = 10.0.0.45
O17 - HKLM\System\CS3\Services\Tcpip\..\{8057BCAC-FDFC-4282-80BC-10B8EDAC9513}: NameServer = 10.0.0.45

Если незнакомо, то пофиксите эти строчки в в HijackThis.

Очистите временные папки и кеш браузера.
Сделайте новые логи.

[drongo]

c:\windows\system32\nwprovau.dll- Пришли по второму пункту правил копию, и не надо к теме ничего кроме логов прикреплять.

[denison]

Выполните скрипт в AVZ:

...

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил

Готово.

Вот это Вам знакомо?

O17 - HKLM\System\CCS\Services\Tcpip\..\{8057BCAC-FDFC-4282-80BC-10B8EDAC9513}: NameServer = 10.0.0.45
O17 - HKLM\System\CS1\Services\Tcpip\..\{8057BCAC-FDFC-4282-80BC-10B8EDAC9513}: NameServer = 10.0.0.45
O17 - HKLM\System\CS2\Services\Tcpip\..\{8057BCAC-FDFC-4282-80BC-10B8EDAC9513}: NameServer = 10.0.0.45
O17 - HKLM\System\CS3\Services\Tcpip\..\{8057BCAC-FDFC-4282-80BC-10B8EDAC9513}: NameServer = 10.0.0.45

Если незнакомо, то пофиксите эти строчки в в HijackThis.

10.0.0.45 - DNS сервер мой. Фиксить?

[denison]

c:\windows\system32\nwprovau.dll- Пришли по второму пункту правил копию, и не надо к теме ничего кроме логов прикреплять.

Добавил, но в карантине ничего не прибавилось, возможно он там уже есть.

[drongo]

firebit.dll - > not-a-virus:AdWare.Win32.Kitsune.b
больше фаербит не ставьте, это гадость.

[denison]

firebit.dll - > not-a-virus:AdWare.Win32.Kitsune.b
больше фаербит не ставьте, это гадость.

Загрузчик для letitbit.net? Давно знаю об этом, не ставил. Чудеса просто какие то.

[denison]

Все?

spdj.sys
afw.sys
SandBox.sys

по прежнему находит.
Логи выложу через 3 минуты, предыдущие не дают загрузить, удалю их.

[denison]

Вот остальное, "virusinfo_syscure" не могу выложить, ругается даже если переименовать, говорит что уже есть такой архив в теме.

[drongo]

Hу так, а как же? Мы же их не удаляли. Не всё что находит avz нужно удалять, об этом ясно написано. Что удалять решает хелпер
это от ваших программ защиты(afw.sys ,
SandBox.sys -оутпост) и эмулятора дисков.( spdj.sys & co)

На вашем месте я бы прошёлся куритом, поставил ограниченного пользователя и конечно не забывать что есть noscript
Больше ничего интересного не видно.

[denison]

]На вашем месте я бы поставил ограниченного пользователя

Так админскую учетку все равно взломать могут и параллельно с моей ограниченной сессией дел натворить, так я хоть вижу что у меня происходит (1 учетка админская, остальное выключено).

[drongo]

Так админскую учетку все равно взломать могут и параллельно с моей ограниченной сессией дел натворить, так я хоть вижу что у меня происходит (1 учетка админская, остальное выключено).

ваши логи говорят об обратном

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\ь.ъъъ.ь\\application data\\mozilla\\firefox\\profiles\\r85w5c7d.default \\extensions\\firebit@firebit\\components\\firebit .dll - not-a-virus:AdWare.Win32.Kitsune.b (DrWEB: Trojan.BitAcc.4)