Помогите изгнать tcpsr.sys

[Zaxap]

НОД периодически ругается на троянов:
11.09.2008 19:34:19 AMON файл C:\WINDOWS\System32\drivers\Lrx31.sys модифицированный Win32/Wigon
11.09.2008 19:34:16 AMON файл C:\WINDOWS\System32\drivers\tcpsr.sys Win32/Wigon.BY троян изолирован - удален
11.09.2008 19:33:02 AMON файл C:\WINDOWS\System32\drivers\Ucj64.sys модифицированный Win32/Wigon троян изолирован - удален
11.09.2008 19:33:02 AMON файл C:\WINDOWS\System32\drivers\tcpsr.sys Win32/Wigon.BY троян изолирован - удален
10.09.2008 22:43:15 IMON файл h t t p : //78.109.21.42/images6/dd2.exe вероятно модифицированный Win32/Statik приложение NT AUTHORITY\SYSTEM

ЗЫ. Установлен переключатель клавиатуры RusLat, C:\WINDOWS\system32\kbHook.dll это видимо его.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Microsoft Common\wuauclt.exe','');
 DeleteService('Ygl42');
 DeleteService('Ucj64');
 DeleteService('tcpsr');
 DeleteService('Ryf41');
 DeleteService('Lry64');
 DeleteService('Lrx31');
 DeleteService('Dkr53');
 DeleteService('Dkq86');
 DeleteService('Ryg75');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Ryg75.sys','');
 TerminateProcessByName('c:\windows\system32\config\systemprofile\hrryjmh.exe');
 QuarantineFile('c:\windows\system32\config\systemprofile\hrryjmh.exe','');
 QuarantineFile('c:\windows\system32\cpl32ver.exe','');
 DeleteFile('c:\windows\system32\cpl32ver.exe');
 DeleteFile('c:\windows\system32\config\systemprofile\hrryjmh.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ryg75.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Dkq86.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Dkr53.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Lrx31.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Lry64.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ryf41.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ucj64.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ygl42.sys');
 DeleteFile('C:\Program Files\Microsoft Common\wuauclt.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ..

[Zaxap]

Выполнил, перзагрузилась. Поторно проверил. Карантин выслал.

Сайт вчера не грузился =( текстовуха отправилась, а файлы - нет.
Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).

Хм... Отправлял утром.
Повторил.
"Файл сохранён как 080912_051541_virus_48ca414d0ae9f.zip
Размер файла 70394
MD5 310f8adf5e1977b92c8f291e18729d23

Файл закачан, спасибо!"

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Ryg75');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ryg75.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Ryg75');    
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[Zaxap]

Повторите логи...

повторяю

[Rene-gad]

В логах чисто.
Какие проблемы остались?

[Zaxap]

Нет, всё спокойно. Спасибо огромное.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\microsoft common\\wuauclt.exe - Worm.Win32.AutoRun.mlr (DrWEB: Trojan.DownLoad.428
  2. c:\\windows\\system32\\config\\systemprofile\\hrry jmh.exe - Trojan-PSW.Win32.Agent.ktu (DrWEB: Trojan.Spambot.3561)
  3. c:\\windows\\system32\\cpl32ver.exe - Trojan.Win32.Agent.adcr (DrWEB: BackDoor.Bulknet.237)