Борьба с Dialer

[ucyreng]

Здравствуйте!
поселился I-Dialer. Симптомы схожи и описывались уже.
NOD32 бессилен бороться.
время от времени удаляю из трея с пом. Диспетчера задач или Process Killer'a.
Вот логи.
Помогите прибить сволоту.

[Shu_b]

avz - файл - выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\SYSTEM32\winrkp32.dll','');
 QuarantineFile('C:\\dvt.exe','');
 QuarantineFile('c:\temp\win35.tmp.exe','');
 QuarantineFile('d:\utils\s2kctl.exe','');
 QuarantineFile('c:\temp\idd5e.tmp.exe','');
 QuarantineFile('c:\temp\idd3.tmp.exe','');
 DeleteFile('c:\temp\idd3.tmp.exe');
 DeleteFile('c:\temp\idd5e.tmp.exe');
 DeleteFile('c:\temp\win35.tmp.exe');
ExecuteSysClean;
RebootWindows(true);
end.

прислать карантин в соответствии с приложением 2 правил, с пятого пункта.

[ucyreng]

Каюсь, случайно очистил папку "Temp", но за некоторое время,покуда был на работе, диалер наклонировал там с десяток приложений и я скрипт переписал по аналогии в соответствии с находившимися там приложениями. Архивы высланы.

Кроме того, в "темпе" находятся еще 2 приложения:
c:\temp\srvami.exe и
c:\temp\srvhfb.exe
Я их тоже закарантинил. ИХ присылать нужно?

[drongo]

Да ,и новые логи, чтобы посмотреть что осталось .

[ucyreng]

Ну вот логи.
Dialer все еще тут. Вот, только что, выскочил в трее.

[PavelA]

В АВЗ выполнить след. скрипт (avz - файл - выполнить скрипт)

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\winrkp32.dll','');
 DeleteFile('C:\WINDOWS\system32\winrkp32.dll');
 ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки прислать карантин.
Профиксить в HijackThis

O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O3 - Toolbar: (no name) - {468CD8A9-7C25-45FA-969E-3D925C689DC4} - (no file)
O20 - Winlogon Notify: winrkp32 - C:\WINDOWS\SYSTEM32\winrkp32.dll

[ucyreng]

Скрипты выполнил, карантин выслан.
После перезагрузки пофиксил.
Ну и логи, вот.
Вроде как не видно дьялера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 36
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\temp\\idd1.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  2. c:\\temp\\idd2a4.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  3. c:\\temp\\idd2d4.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  4. c:\\temp\\idd274.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  5. c:\\temp\\idd276.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  6. c:\\temp\\idd3c0.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  7. c:\\temp\\idd3ed.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  8. c:\\temp\\idd3.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  9. c:\\temp\\idd304.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  10. c:\\temp\\idd337.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  11. c:\\temp\\idd366.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  12. c:\\temp\\idd393.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  13. c:\\temp\\idd4a3.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  14. c:\\temp\\idd4d0.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  15. c:\\temp\\idd4fd.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  16. c:\\temp\\idd41a.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  17. c:\\temp\\idd449.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  18. c:\\temp\\idd476.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  19. c:\\temp\\idd52a.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  20. c:\\temp\\idd559.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  21. c:\\temp\\idd56c.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  22. c:\\temp\\idd56d.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  23. c:\\temp\\idd56e.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  24. c:\\temp\\idd56f.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  25. c:\\temp\\idd574.tmp.exe - not-a-virusorn-Dialer.Win32.IDialer.m (DrWEB: Dialer.Questo)
  26. c:\\temp\\srvami.exe - Packed.Win32.Klone.g (DrWEB: Dialer.Mella)
  27. c:\\temp\\srvhfb.exe - Packed.Win32.Klone.g (DrWEB: Dialer.Mella)
  28. c:\\temp\\win2a1.tmp.exe - Packed.Win32.Klone.g (DrWEB: Dialer.Mella)
  29. c:\\temp\\win2d1.tmp.exe - Packed.Win32.Klone.g (DrWEB: Dialer.Mella)
  30. c:\\temp\\win272.tmp.exe - Packed.Win32.Klone.g (DrWEB: Dialer.Mella)
  31. c:\\temp\\win275.tmp.exe - Packed.Win32.Klone.g (DrWEB: Dialer.Mella)
  32. c:\\temp\\win301.tmp.exe - Packed.Win32.Klone.g (DrWEB: Dialer.Mella)
  33. c:\\windows\\system32\\winrkp32.dll - Trojan.Win32.Dialer.qn (DrWEB: Trojan.Mezzia)