Невидимый Trojan-PSW.Win32.LdPinch.pas

[Александер]

Здравствуйте, господа
Вот такая беда случилась.

Outpost поймал попытку schost.exe зайти по SMTP протоколу на SMTP-сервер майл.ру. Судя по журналу он ломится туда каждые полчаса.

Проверил комп полностью с последними базами dr.web и AVP. Они ничего не нашли, но всплыло вот что. Где-то через минуту после загрузки винды, если была включена постоянная защита AVP, то она ругалась на Trojan-PSW.Win32.LdPinch.pas в файле c:\pass.bin. А потом пыталась его удалить и бодро рапортовала, что этот файл не найден.
Я и сам проверил через "Мой Компьютер" - действительно примерно через минуту после загрузки Винды там появляется файл pass.bin, размером в несколько Кб, который через 1-2 секунды исчезает.

Вот такой вот трабл. Видимо это какая-то неизвестная антивирям модификация Trojan-PSW.Win32.LdPinch.pas?

[drongo]

авз- файл- выполнить скрипт .
вставить следующие строки и нажать на выполнить .
полученный архив прислать нам по правилам .

 begin
  SearchRootkit(true, true);
  QuarantineFile('\SystemRoot\System32\Drivers\dump_WMILIB.SYS','');
  QuarantineFile('\SystemRoot\System32\Drivers\dump_atapi.sys','');
  QuarantineFile('prosync1.sys','');
  QuarantineFile('prohlp02.sys','');
  QuarantineFile('c:\windows\svchost.exe','');
 end.

скачать последнею версию hijack this и сделать новый лог .

[Alex_Goodwin]

1. Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WgaLogon.dll','');
QuarantineFile('c:\windows\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\WPDShServiceOb j.dll','');
DeleteFile('c:\windows\svchost.exe');
DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
ExecuteSysClean;
RebootWindows(true);
end.

2. Отправьте карантин нам.
3. Срочно замените все ПАРОЛИ: (после выполнения пункта 1) на почту , аську и .т.д. веб мони спасайте.

[Александер]

2Alex_Goodwin

Выполнил скрипт, комп перезагрузился.
Карантин выслал.


2drongo

Я тут затупил.
Ваш скрипт выполнил, но сразу же за ним выполнил скрипт 2Alex_Goodwin.
Как теперь лучше сделать?

Да, и еще. Троянец ломился на SMTP порт по TCP протоколу.

[Alex_Goodwin]

Ничего страшного.

[Alex_Goodwin]

Пароли поменяли?
Сделайте новые логи.

[Александер]

Так есть вероятность, что пароли НЕ уплыли?

[Александер]

Вот снова просканировал.

[pig]

Так есть вероятность, что пароли НЕ уплыли?

Лучше поменять. Бережёного... сами знаете.

И ещё пофиксите:

O2 - BHO: IE Adapter Class - {35A6E2B1-27A9-47D2-913C-559E1EF1D034} - C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll (file missing)

[drongo]

Новую версию hijack this не скачали , а зря

пофиксить :

O2 - BHO: IE Adapter Class - {35A6E2B1-27A9-47D2-913C-559E1EF1D034} - C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll (file missing)

[Александер]

В смысле новую версию? Я ведь скачал сегодня одну. Надо было ее еще раз скачать?

И как пофиксить это? Удалить? В этой папке dll уже нет, есть там там только два exe-шника:
tmasrv.exe
Uninstaller.exe

И такой вопрос. Вы смотрели карантин, что я вам прислал? Что там?

[pig]

Что такое "пофиксить"
А папку убейте вместе с содержимым.

P.S. Актуальная версия HijackThis - 1.99.1 против вашей 1.98.2

[drongo]

Вот прямая ссылка на последнею версию :
http://www.tomcoyote.org/hjt/hjt199//hijackthis.zip
она в архиве , надо распаковать и запустить .

[Александер]

Спасибо, понял. Сделал.

[Александер]

Вот прямая ссылка на последнею версию :
http://www.tomcoyote.org/hjt/hjt199//hijackthis.zip
она в архиве , надо распаковать и запустить .

Вот, во вложении лог.

[pig]

Вроде чисто.