Проверьте пожалуйста файлик

[WhiteWolf]

при очередном осмотре AVZ поругался на файлик autelc.dll как на кейлоггер троян. Эта dll'ка без цифровой подписи. Грузится в разделе winlogon notify. После отложенного удаления система его не восстановила. System restore отключено, значит в кеше системных dll этого файла нет. (иначе он вернулся бы на место). Сделал вывод вывод что файл не от системы, раз она без него блаполучно обошлась. Находился в \\.\WINDOWS\system32. Кто может поисследовать хотя-бы на вскидку - что это за зверь.

файлик в rar архиве без пароля. сварганил не по инструкции потому что сначала скопировал на всякий случай, потом прибил. а так как и без него все работает - задумался а не отправить ли знающим людям.

Спасибо всем кто откликнется.

[drongo]

Нет уж , присылать только по ссылке вверху вашей темы ( http://virusinfo.info/upload_virus.php?tid=9299 ) и с паролем virus
в зипе .Сделайте логи, посмотрим , что там осталось.

[WhiteWolf]

фалик переотправил в zip'е с нужным паролем.

Файл сохранён как 070426_131052_autelc_46306c9ce2b92.zip
Размер файла 19757
MD5 c66a8f32db8a81e9aa3f9748ff324156

поспешил и аналогично через ссылку вверху темы отправил так же и лог. На вский случай вложил и сюда.

[Ego1st]

выполните скрипт AVZ - файл - выполнить скрипт, копьютер перезагрузиться

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\autelc.dll','');
 QuarantineFile('C:\WINDOWS\system32\tmp5.tmp.dll','');
 DeleteFile('C:\WINDOWS\system32\autelc.dll');
ExecuteSysClean;
RebootWindows(true);
end.

после перезагрузке файлы из папки AVZ - Quarantine - сегодняшнее число залейте по правилам приложения 2

пофиксите в hijackthis

O2 - BHO: (no name) - {1557B435-8242-4686-9AA3-9265BF7525A4} - C:\WINDOWS\system32\tmp5.tmp.dll
O2 - BHO: (no name) - {1bc8233e-9e32-4ce8-a545-137d10308b4a} - C:\WINDOWS\system32\autelc.dll (file missing)
O20 - Winlogon Notify: autelc - autelc.dll (file missing)
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\

Логи AVZ нормальные выложите..

[PavelA]

Нужны логи от AVZ. Чувствую, будет небольшой улов гадости.

[drongo]

Для тех кто в бронепоезде, специально написали большими буквами что логи прикреплять к теме а не загружать по ссылке А вы в каких войсках ?

[drongo]

autelc.dll - Packed.Win32.Klone.k по касперскому

[WhiteWolf]

Войска: компутерных сантехников укомплектованные супер ботинками с магическим бонусом по скорости +5 и мышой помошником с повышенной самокликабельностью и продвинтуым AI

Прошу извинить за ошибку. Поторопился. Кстати - думается большие буквы надобны в теме непосредственно, примечание добавить там, где ссылка для загрузки запрошенных файлов. (Было прыятно прочитать спасибо )

После отправки файла проверил DrWEB cure it в защищенном режиме. Выгребло несколько несколько дряни. На всякий случай привожу лог:

c:\windows\system32\lsasss.exe инфицирован Trojan.Click.2133 - удален
c:\windows\system32\srvany.exe является потенциально опасной программой Program.SrvAny
c:\windows\system32\srvany.exe - перемещен
c:\windows\system32\tmp5.tmp.dll инфицирован Trojan.Juan - удален
C:\Documents and Settings\Dmitry\Local Settings\Temp\tmp3.tmp.exe инфицирован Trojan.DownLoader.19433 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temp\tmp4.tmp.exe инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temp\tmp5.tmp.exe инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\0LQJ01AF\fish20070418[1] инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\3LCS17RL\drf1177568675[1].htm инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\3LCS17RL\drf1177568675[1].htm.exe инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\MJ25WFYZ\ffa_dn_20070424[1] инфицирован Trojan.Packed.49 - удален
C:\Documents and Settings\Dmitry\Local Settings\Temporary Internet Files\Content.IE5\VX7OP3JS\lientnstaller15_02[1] инфицирован Trojan.DownLoader.19433 - удален
>C:\Documents and Settings\Алексей\Local Settings\Temporary Internet Files\Content.IE5\W9YZ0PEF\0f87456fc4a1ac162ea4794 358a3d5b3[1] инфицирован Trojan.Click.2133 - удален

Пофиксил рекомендуемые пункты в HijackThis. Прошенные файлы со своего компутера прислать не могу, в связи с тем что, собственно, они удлены DrWEB'ом. Но он их определил как "нормальный" вирус с уже известным именем. В приведенном логе присутствуют.

Выполняются два стандартных скрипта в AVZ:
скрипт сбора/лечения/карантина и сбора информации для virusinfo.info
скрипт сбора неопознанных подохрительных файлов

результат выложу по готовности.
-----
PS. не сразу ответил на сообщения - услали за железом. Доделываю. Видю стал "редиской"

[WhiteWolf]

ZIP результат работы AVZ - выслан. (через ссылку)
лог приереплен к текущему сообщению

как бы убедиться - что все все прибито....

Завтра пойду в тему сравнения антивирусов

[PavelA]

1. Не уходить пока из темы. Рановато будет ИМНО
2. Обновить AVZ. Текущая версия 4.25
3. Выполнить скрипт. Прислать карантин после перезагрузки.

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\WINDOWS\urrsqp.dll','');
RebootWindows(true);
end.

4. Нужен лог от HijackThis.

[WhiteWolf]

Выполнил.
Вопрос: на каком основании Вы решили проверить именно это файл? Если не секрет и как проверяете?

[Bratez]

Это вирус Packed.Win32.Klone.k

Уберите архив из темы!

[Rene-gad]

Это вирус Packed.Win32.Klone.k

как уже было установлено тут
http://virusinfo.info/showpost.php?p=106101&postcount=7

Уберите архив из темы!

Товарищ не понимает ?

Для тех кто в бронепоезде, специально написали большими буквами что логи прикреплять к теме а не загружать по ссылке А вы в каких войсках ?

[drongo]

Товарищ не понимает ?

вирус пошёл дальше , через мышь

[PavelA]

Выполнил.
Вопрос: на каком основании Вы решили проверить именно это файл? Если не секрет и как проверяете?

Это секрет мастерства древних мастеров, он не разглашается. (шутка!!)

Проверяем онлайновыми антивирусами + virustotal. В соотв. разделе есть темы.

[PavelA]

как уже было установлено тут
http://virusinfo.info/showpost.php?p=106101&postcount=7

Товарищ не понимает ?

Товарищ про другой файл спрашивает, а про загрузку многие не понимают, как и про распространение вирусов.

[drongo]

надо звуковой сигнал ввести у нас на форуме, предлагаю рык льва ))

[WhiteWolf]

Друзья, не надо льва
я никак не найду как удалить присланный файлик. Речь, как я понял, идет о присланной мной dll'ке?

[PavelA]

Сверху темы есть ссылка - Прислать запрошенные файлы

[WhiteWolf]

Но там есть только закачать и нету удалить
И из своего собственного сообщения ошибочно приаттаченный файл как убрать - непонятно


Из сообщения разобрался. А из темы - так и не понятно. В ссылке наверху - нет!!! менеджмента отправленных файлов.