Какой-то шпион

[Wastelander]

Помогите разобратся с заразой. Обнаружил у себя какой-то шпион, который сохраняет историю посещения страниц и пароли к ним в файле 1.txt в корне диска C. Пока я создал тот же файл на диске C с атрибутом "только чтение".

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:exe.exe:$DATA','');
 QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\DOCUME~1\WASTEL~1\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('c:\windows\system32\msg.dll','');
 DeleteFile('c:\windows\system32\msg.dll');
 DeleteFile('C:\DOCUME~1\WASTEL~1\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 DeleteFile('C:\WINDOWS\system32\amvo.exe');
 DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe:$DATA');
 BC_ImportALL;
 BC_DeleteSvc('protect');
 BC_DeleteSvc('Asp.d0mse');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

"Пофиксите" в HijackThis

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe

Загрузите карантин согласно приложению №3 правил.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.

[Wastelander]

Прикрепляю карантин и новые логи.
Файл virusinfo_syscure не влез в лимит.

[Макcим]

Прикрепляю карантин и новые логи.
Файл virusinfo_syscure не влез в лимит.

Это потому что карантин не правильно прислали.

[Wastelander]

Докладываю нужный лог. Карантин теперь закачал как надо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 32
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\msg.dll - Trojan-PSW.Win32.Agent.kbf
  2. c:\\windows\\system32\\svchost.exe:exe.exe:$data - Trojan.Win32.Obfuscated.fna