27 ответов в этой теме

[Sergik644]

Позвонила знакомая, паника - вирусня прет.
Приехал, смотрю.
1. На компьютере установлен KIS 7, у того вылетает предупредительное окно, что через svchost идет рассылка писем. Смотрю, точно, Касперский прям захлебывается при проверке почты. Где-то за 2-3 минуты от нас ушло примерно 160 писем с трафиком 10,3 МВ на какие-то адреса (хотя стандартным почтовиком от винды не пользуемся и почтовой адресной книги тоже нет). Проверил Dr.Web CureIt ничего не нашел. Через одно место я все-таки прихлопнул Вроде-Бы эту гадость.
2. Смотрю в логи к Касперскому там второй троян, пришел с локальной сети. Думаю винда дрявая (установлена была Win ХР НE Sp1), обновил до SP3. Сидим без сети: вроде нормально. Только подключаемся к инету начитает выбивать атаку вирусную касперский (Trojan.DownLoad.2077 по Вебу). Прихлопнешь его. Вроде нормально. Вскоре опрять. Толи заражен ПК какой-то в локальной сети, а от него к нам прет. Толи у нас что-то. Не знаю.
Что посоветуете делать.
Вот логи

[v.martyanov]

Присылайте нам в вирлаб файлы:
C:WINDOWSSystem32IoctlSvc.exe
C:WINDOWSSystem32~.exe
C:WINDOWSSYSTEM32WinCtrl32.dll - это оно и есть. У вас Bulknet/Rntm

еще драйвер должен быть, но что-то не нашел...

[ILNARus]

Пофиксить в HijackThis следующие строчки
Код:
O4 - HKLM..Run: [advap32] C:WINDOWSSystem32~.exe/r
O20 - Winlogon Notify: WinCtrl32 - C:WINDOWSSYSTEM32WinCtrl32.dll

[userr]

1. На компьютере установлен KIS 7
...
Что посоветуете делать.

Ответ очевиден. У Вашей знакомой, без сомнения, стоит лицензионный KIS 7. Вам надо обратиться в тех поддержку Касперского.

[v.martyanov]

Пущай сначала нам файло достанется ;-)

[Borka]

еще драйвер должен быть, но что-то не нашел...

Файл C:WINDOWSSystem32driversWinej05.sys удален.
Файл C:WINDOWSSystem32driversWinej05.sys не может быть удален.
Не оно?

---
С уважением,
Borka.

[v.martyanov]

Вероятно.

[ILNARus]

Скачайте файл http://slil.ru/26151362 (оф. ссылка на полный дистр. http://rapidshare.com/files/140970549/RkU3.8.341.553...)
Запускаете, переходите на вкладку Report, кнопка Scan, убираете птичку на Files, меню File-save report. Покажите здесь.

Безопасный Интернет

[tego87]

А что

C:WINDOWSSystem32IoctlSvc.exe

вирус? У меня тоже такой файл есть.

-----
С уважением, Егор
(aka tego87)

[v.martyanov]

Каспер, зараза, все на себя перехватывает, сложно что-то увидеть будет :-)

[Borka]

вирус?

А хто ж его знает?

---
С уважением,
Borka.

[v.martyanov]

Если бы это можно было понять по имени файла - была бы лафа :-)

[ILNARus]

Каспер, зараза, все на себя перехватывает, сложно что-то увидеть будет :-)

ну тогда своей же пушкой.... AVP Removal Tool :)... только не считайте рекламой...
-------------------------------------------------
Безопасный Интернет

[Sergik644]

Report вроде-бы был в архиве.

[ILNARus]

Winej05.sys

да... Google скажет...
http://research.sunbeltsoftware.com/threat...threatid=316257
-------------------------------------------------
Безопасный Интернет

[Sergik644]

Присылайте нам в вирлаб файлы

.
Не могу, т.к. не имею доступа к ПК. Прислать можно будет только в понедельник.

У Вашей знакомой, без сомнения, стоит лицензионный KIS 7. Вам надо обратиться в тех поддержку Касперского.

. Мммммм......., не совсем.

[ILNARus]

Сорри, пропустил... из лога Rku

Process: C:Documents and SettingsЕленаРабочий столF%3A%5Czzzz%5Csh6sJ6G4.exe
Process Id: 128
EPROCESS Address: 0x81FA1DA0

что это...



-------------------------------------------------
Безопасный Интернет

[v.martyanov]

Ну тогда в понедельник шлите :-)

[Borka]

что это...

РкУ, вероятно...

---
С уважением,
Borka.

[Sergik644]

C:WINDOWSSystem32IoctlSvc.exe
C:WINDOWSSystem32~.exe
C:WINDOWSSYSTEM32WinCtrl32.dll

Выслал файлы. Номер тикета [drweb.com #616003].
Нашел кроме C:WINDOWSSystem32~.exe.
Посмотрел в Autoruns: Файл не найден, хотя ссылка есть.