Win32/Nuwar

[A1ekx]

Здравствуйте. При включенном соединении с интернетом NOD32 очень часто выдает сообщение с таким содержанием:
.
А в журнале NOD-а пишется следующее:

Модуль сканирования: Фильтр HTTP;   
Объект: Файл: 
Имя: ygv.exe; 
Вирус: Модифицированный Win32/Nuwar червь;
Действие: соединение прервано - изолирован;
Пользователь: NT AUTHORITY\SYSTEM    
Информация: Обнаружена угроза при попытке доступа в Интернет следующим приложением: C:\WINDOWS\system32\svchost.exe.

Выполнил полную проверку самим NOD32, а потом и свежим CureIt. Ни один из них не нашел заразы.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\twex.exe','');
 DeleteFile('C:\WINDOWS\system32\twex.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[A1ekx]

Карантин выслал и вот логи:

[Bratez]

Скачайте заранее вот эту программку:
http://www.veldhuizen.speedxs.nl/winsockxpfix.exe

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\hawhepzag.dll','');
 DeleteFile('C:\WINDOWS\System32\hawhepzag.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Может нарушиться работа с локальной сетью или интернетом. В этом случае запустите скачанную программу и нажмите Fix. По окончании ее работы будет перезагрузка. Имейте ввиду, что она сбросит настройки сетевых подключений, их надо будет потом ввести снова.

Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=42089).

Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[A1ekx]

Выслал карантин.
Новые логи:

[Aleksandra]

Ничего зловредного в логах нет.

[A1ekx]

Большое спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\twex.exe - Trojan-Spy.Win32.Zbot.qer

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !