помогите избавится либо от клавиатурного шпиона, либо от вируса рассылающего спам

[zverman]

Вложение 88044Суть проблемы такова, на сервере в другом городе мне сделали почту, настроил у себя через outlook express. Первый день почта работала. На следующий день почтовый ящик забит письмами об ошибке о несуществующем адресате. Такое ощущение что, адрес моей электронной почты используется для рассылки спама, ну естественно в ответ приходят письма, если адрес несуществует. Файл лога прикрепил. AVZ находит следующее
C:\WINDOWS\system32\Drivers\xnafyfwo.sys;4;Перехва тчик KernelMode
C:\WINDOWS\system32\NOVNPNT.DLL;5;Подозрение на Keylogger или троянскую DLL
C:\WINDOWS\system32\CALWIN32.DLL;5;Подозрение на Keylogger или троянскую DLL
C:\WINDOWS\system32\CLNWIN32.DLL;5;Подозрение на Keylogger или троянскую DLL
C:\WINDOWS\system32\LOCWIN32.DLL;5;Подозрение на Keylogger или троянскую DLL
C:\WINDOWS\system32\CLXWIN32.DLL;5;Подозрение на Keylogger или троянскую DLL
C:\WINDOWS\system32\NLS\RUSSKI\NOVNPNTR.DLL;5;Подо зрение на Keylogger или троянскую DLL

Первый файл никак не смог удалить, переместить, онлайн проверить и даже прикрепить сюда.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\xnafyfwo.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\xnafyfwo.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите лог

[zverman]

вообщем такое дело, с помощью скрипта не получилось затолкать этот файл в карантин. Я скачал Dr.Web - CureIT, просканил комп, убил 6 файлов и 1 поместил на карантин, сейчас в кратце напишу тут отчет Др Веб
ndisio.sys C:\windows\system32\drivers Trojan.Spambot.3554 Удален
ljqyix.exe C:\Documents and Settings\bsa Trojan.Spambot.3554 Удален
winlogon.exe C:\Documents and Settings\bsa\Local Settings\Temp Trojan.Spambot.3384 Удален
Angel.exe в моих документах BackDoor.Zany.17 Удален
56740.exe C:\windows\system32\ Trojan.Spambot.3554 Удален
wpv3423.cpx C:\windows\system32\ Trojan.PWS.Lich Неизлечим. Перемещен на карантин

Проверял систему в безопасном режиме.
После проверки и перезагрузки пропал выход в локальную сеть и в интернет соответсвенно, пишу с другого компа. Восстановить систему пока не пытаюсь, потому что думаю что восстановятся эти вирусы. Хотя проверку делал при отключенной системе восстановления, что посоветуете?

[Гриша]

Советуем повторить логи и попробовать это http://virusinfo.info/showthread.php?t=10267

[zverman]

повторно прикрепил логи к первому сообщению
Диспетчер устройств вот так глючи

[V_Bond]

выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask('%Tmp%', '*.*', true);   
 DeleteFileMask('C:\RECYCLER\S-1-5-21-515967899-1303643608-725345543-1003\', '*.*', true);
 DeleteFileMask('C:\Documents and Settings\bsa\Local Settings\Temporary Internet Files\', '*.*', true);      
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи

[zverman]

скрипт выполнил, логи прикрепил к первому сообщению.
Осталась проблема, при перезагрузке приходиться локальную сеть заново настраивать удаляя старые настройки программой WinsockFix

[zverman]

Спасибо за поддержку, свими усилиями и помощью сисадмина избавился от вирусов и восстановил нормальную работоспособность сисетмы. Тему можно закрыть.

[PavelA]

Я бы еще посоветовал пароли сменить.