Троян в системе

[vgm]

Собственно subj.
Пытается по 25-му порту что-то от себя рассылать...

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteService('srservice');
 QuarantineFile('srservice.sys','');
 QuarantineFile('C:\WINDOWS\system32\jqrlosox.dll','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\atapidrv.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\atapidrv.sys');
 DeleteFile('%system32%\srservice.sys');
 DeleteFile('srservice.sys');
 BC_DeleteSvc('srservice');    
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Прокси Ваши? -

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.0.254:3128

[vgm]

Карантин выложил.
Отключить восстановление системы не смог -- все время выдавало ошибку
Поэтому еще раз сделал все сканикование после лечения заново.

Проха моя

[миднайт]

Выполните скрипт

begin
 DelBHO('{710EB7A1-45ED-11D0-924A-0020AFC7AC4D}');
end.

Большего плохого не видно.
Обновите Internet Explorer.

[vgm]

Скрипт выполнил. IE обновил.
Вот новые результаты сканирования (может, что-то осталось или новое прицепилось).

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\jqrlosox.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters', 'ServiceDll', 'REG_EXPAND_SZ', '%SystemRoot%\System32\srvsvc.dll');
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новые логи

[vgm]

Перед тем как это делать, подскажите плз, где в реесте надо выключить восстановление системы. Думаю, что из-за этого дллелька осталась неубитой.

Кстати, попытки отослать по почте прекратились.

[vgm]

Ответа на свой пост так и не дождался.
Выкладываю новые файлы проверки.

[Bratez]

Ничего подозрительного больше не видно.

[vgm]

Спасибо. Тему можно закрывать

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\atapidrv.sys - Packed.Win32.Krap.if ( DrWEB: Trojan.NtRootKit.6671 )
  2. c:\\windows\\system32\\jqrlosox.dll - Trojan-Dropper.Win32.Drooptroop.jmj ( DrWEB: Trojan.Packed.21244, BitDefender: Trojan.Generic.5160281, AVAST4: Win32:Malware-gen )