Подозрение на вирусы

[deco90]

как-то плохо стал работать ноут.
тормозил сильно + ваш сайт не открывался
сейчас после проверки каспером сайт открывается нормально
но все же думаю, что вирусы остались

[Bratez]

Отключите восстановление системы!
Пофиксите в HijackThis:

R3 - URLSearchHook: (no name) -  - (no file)
O4 - HKLM\..\Run: [Tulkarm] C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf2\lsass.exe
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O4 - HKLM\..\Run: [Microsoft] taskmaneger.exe
O4 - HKLM\..\Run: [Windows Norman01 Service] norman32.exe
O4 - HKLM\..\Run: [Intel i386] C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf150\intel.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [ISPSERVICE] C:\DOCUME~1\1747~1\LOCALS~1\Temp\psycho.exe
O4 - HKLM\..\RunServices: [Microsoft] taskmaneger.exe
O4 - HKLM\..\RunServices: [Windows Norman01 Service] norman32.exe

Выполните скрипт в AVZ:

begin
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 QuarantineFile('C:\WINDOWS\System32\taskmaneger.exe','');
 QuarantineFile('C:\WINDOWS\System32\norman32.exe','');
 QuarantineFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\systemac.dll','');
 QuarantineFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\psycho.exe','');
 QuarantineFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf2\systemac.dll','');
 QuarantineFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf2\lsass.exe','');
 QuarantineFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf150\systemac.dll','');
 QuarantineFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf150\intel.exe','');
 DeleteFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf150\intel.exe');
 DeleteFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf150\systemac.dll');
 DeleteFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf2\lsass.exe');
 DeleteFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\gsf2\systemac.dll');
 DeleteFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\psycho.exe');
 DeleteFile('C:\DOCUME~1\1747~1\LOCALS~1\Temp\systemac.dll');
 DeleteFile('C:\WINDOWS\System32\norman32.exe');
 DeleteFile('C:\WINDOWS\System32\taskmaneger.exe');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RegKeyResetSecurity( 'HKLM', 'SYSTEM\CurrentControlSet\Services\ngzitgi');
SetAVZPMStatus(True);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=53426).
Сделайте новые логи.

[deco90]

сделал новые логи
файл выслал

[Bratez]

Уже намного лучше, но это еще не все.
Сделайте такой лог:
http://virusinfo.info/showthread.php?t=40118.

И готовьтесь к установке SP3, ибо с такой системой вы очень скоро к нам вернетесь:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

[deco90]

сделал лог
прикрепляю

[thyrex]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del file "C:\WINDOWS\System32\bdtyca.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ngzitgi"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ngzitgi"
gmer.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[deco90]

сделал как написано выше
после запуска cleanup.bat комп не перезагружался
новый лог выкладываю

[thyrex]

Лог чист. Что с проблемой?

[deco90]

ну вроде все стало нормально, только вот есть подозрение на некоторые файлы на локальном С. Типа:

bcrypt.html
dk.exe
dodo.com
efesgrdf.exe

и тд. Таких файлов порядка 25 штук. Все на локальном С

[pig]

Подозрения у кого?

[deco90]

у меня, разве эти файлы должны быть там?

[pig]

Так пришлите их по правилам.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\docume~1\1747~1\locals~1\temp\gsf150\intel.exe - not-a-virus:Client-IRC.Win32.mIRC.601 ( DrWEB: Program.mIRC.601 )
  2. c:\docume~1\1747~1\locals~1\temp\gsf2\lsass.exe - not-a-virus:Client-IRC.Win32.mIRC.601 ( DrWEB: Program.mIRC.601 )
  3. c:\docume~1\1747~1\locals~1\temp\psycho.exe - not-a-virus:Client-IRC.Win32.mIRC.603 ( DrWEB: Program.mIRC.603, BitDefender: Backdoor.IRC, AVAST4: Win32:Trojan-gen {Other} )
  4. c:\system volume information\_restore{a1bddd4f-24da-4922-a4e1-f8e8c07821ee}\rp23\a0009333.exe - Backdoor.Win32.SdBot.oma ( DrWEB: BackDoor.IRC.Sdbot.5190, AVAST4: Win32:Inject-UW [Trj] )
  5. c:\windows\system32\norman32.exe - Net-Worm.Win32.Kolab.dut ( DrWEB: Trojan.MulDrop.32926, AVAST4: Win32:Trojan-gen {Other} )
  6. c:\windows\system32\taskmaneger.exe - Trojan-PSW.Win32.LdPinch.aiqp ( AVAST4: Win32:VB-MHX [Drp] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !