Trojan-downloader.win32.small.eih

[petruxa]

Касперский постоянно находит сабж, удаляет, все ок, но он появляется снова. Это тот же комп, на которым я боролся с errorsafe - вроде удалился наконец-то agnitum'om. Сейчас на наем Outpost Firewall, KAV for workstation. Пользуется немец, и он ужасно нервничает, когда касперский выдает хоть что-то похожее на вирус, меня он просто достал уже. Перестановка системы - не самый желательный вариант. Прикрепляю логи, посмотрите пожалуйста

[petruxa]

logi

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\drivers\Haspnt.sys','');
 QuarantineFile('C:\WINDOWS\ctojaf.exe','');
 QuarantineFile('C:\WINDOWS\System32\msgina\wuauclt2.exe','');
 QuarantineFile('C:\WINDOWS\System32\cbayw38.dll','');
 QuarantineFile('C:\WINDOWS\System32\3t0n0dr2.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\clea1d7b1a9.dll','');
 QuarantineFile('C:\WINDOWS\system32\ckpNotify.dll','');
 QuarantineFile('c:\windows\temp\$_3472452.exe','');
RebootWindows(true);
end.

После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".

[petruxa]

закачал. правда не все файлы добавились в карантин - писал ошибка прямого чтения, вручную тоже не получилось

[Bratez]

Самое интересное в карантин не попало. Выполните такой скрипт:

begin
 ClearQuarantine;
 BC_QrFile('c:\windows\temp\$_3472452.exe');
 BC_QrFile('C:\WINDOWS\TEMP\clea2b84a.dll');
 BC_QrFile('C:\WINDOWS\System32\3t0n0dr2.exe');
 BC_QrFile('C:\WINDOWS\System32\cbayw38.dll');
 BC_QrFile('C:\WINDOWS\System32\msgina\wuauclt2.exe');
 BC_QrFile('C:\WINDOWS\ctojaf.exe');
BC_LogFile(GetAVZDirectory + 'boot_clr.log') ;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки пришлите содржимое карантина согласно приложению 3 правил и приложите к теме файл 'boot_clr.log' из папки с программой AVZ.

[petruxa]

закачал. файла boot_clr.log нету почему-то. Есть только boot_dr.log

[petruxa]

boot_dr.log

[petruxa]

хм... странная какая штука... на компе обзывался boot_dr.log сюда закачался с тем именем, с каким просили ))

[Shu_b]

avz00001.dta - C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.dll

Здравствуйте,
avz00001.dta - Trojan-PSW.Win32.Sinowal.co
Детектирование файла будет добавлено в следующее обновление.
avz00002.dta, avz00005.dta, avz00006.dta, avz00007.dta, avz00008.dta
Вредоносный код в файлах не обнаружен.
--
С уважением, Ярослав Кириллов
Вирусный аналитик Лаборатории Касперского.

[Bratez]

Выполите скрипт:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFile('C:\Program Files\Common Files\Microsoft Shared\Web Folders\ibm00001.dll');
 DeleteFile('c:\windows\temp\$_3472452.exe');
 DeleteFile('C:\WINDOWS\TEMP\clea2b84a.dll');
 DeleteFile('C:\WINDOWS\System32\3t0n0dr2.exe');
 DeleteFile('C:\WINDOWS\System32\cbayw38.dll');
 DeleteFile('C:\WINDOWS\System32\msgina\wuauclt2.exe');
 DeleteFile('C:\WINDOWS\ctojaf.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_LogFile(GetAVZDirectory + 'boot_clr2.log') ;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки сделайте новые логи п.10 и 12 правил и приложите файл 'boot_clr2.log' из папки с AVZ.

[petruxa]

сделано =)

[Bratez]

Хорошо. Выполните скрипт:

begin
AutoFixSPI;
end.

Пофиксите в HijackThis:

O2 - BHO: AutoComplete - {3878A544-E465-4aad-AF9D-B2A680C2F7EC} - C:\WINDOWS\System32\cbayw38.dll (file missing)

Полагаю, на этом - всё.

[petruxa]

спасибо большое!!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\common files\\microsoft shared\\web folders\\ibm00001.dll - Trojan-PSW.Win32.Sinowal.co (DrWEB: Trojan.PWS.Gamma)