Троян, ворующий пароли из Total Commander

[SindBad]

Приветствую, уважаемые форумчане!
Произошла такая неприятность - украли пароли от FTP сайтов из Total Commander'а. Проверился Avast'ом и CureIt, далее всё по инструкции, выкладываю логи.
Что мне делать дальше?

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O4 - HKCU\..\Policies\Explorer\Run: [System Panel] C:\WINDOWS\system32\syspanel32.exe

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\mute2x.sys','');  
 QuarantineFile('C:\WINDOWS\system32\syspanel32.exe','');
 DeleteFile('C:\WINDOWS\system32\syspanel32.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Panel');  
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи + сделайте лог МВАМ

[SindBad]

Прикрепляю, карантин загрузил.

[olejah]

Удалите в МВАМ -

Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\focus.eprotocol (Trojan.BHO) -> No action taken.

Зараженные файлы:
C:\WINDOWS\Documents and Settings\Пользователь\Application Data\avdrn.dat (Malware.Trace) -> No action taken.

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Program Files\ProgDVB\Loader.exe','');
 QuarantineFile('D:\Program Files\phunter\bin\phunter.exe','');
 QuarantineFile('C:\Program Files\Image-Line\Toxic Biohazard\Toxic Biohazard.dll','');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip'); 
 end.

Пришлите файл quarantine2.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

[SindBad]

Карантин загрузил

[olejah]

У меня к Вам вопрос по файлам -

D:\Program Files\phunter\bin\phunter.exe

C:\Program Files\ProgDVB\Loader.exe - это вроде что-то со спутниковым ТВ связано

C:\Program Files\Image-Line\Toxic Biohazard\Toxic Biohazard.dll

Что Вам о них известно?

[SindBad]

D:\Program Files\phunter\bin\phunter.exe
это было приложение pHunter, для обнаружения руткитов. Последние несколько месяцев почему-то не работает - вылетает с ошибкой при запуске;
C:\Program Files\ProgDVB\Loader.exe
это кряк для ProgDVB (просмотр спут. ТВ), тоже работает как-то криво;
C:\Program Files\Image-Line\Toxic Biohazard\Toxic Biohazard.dll
это VST-синтезатор, стоит с 2008 года, работает отлично, но всё это время на него через раз ругаются всевозможные программы защиты. Троянской активности от его имени вроде не наблюдается.

[olejah]

Тогда больше ничего плохого не вижу. Нужно поменять все пароли.

Добавлено через 25 минут

Настоятельно рекомендуется обновить -

Установите Internet Explorer 8 (даже если им не пользуетесь)

Обновите систему
- SP2 обновите до Service Pack 3(может потребоваться активация)
* Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
* Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3

- Так же обновите C:\Program Files\Adobe\Acrobat 7.0 с официального сайта

[SindBad]

Спасибо Вам за помощь.
Еще вопрос - что это за "обновление windows для удаления вредоносных программ"? Оно желательно или не очень?

[Alexey P.]

Как минимум не повредит, это антивирусный сканер от MS, выпускается ежемесячно как обновление Windows, отрабатывает один раз после загрузки и успокаивается.
Емнип, будет потом лежать в system32 под именем MRT.exe

Когда была эпидемия Kido, эта штука нам здорово помогла: прописали в домене для всех компьютеров его выполнение при загрузке, побила тогда этих троянов немерено.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 14
• В ходе лечения вредоносные программы в карантинах не обнаружены