Как избавиться от назойливого ехе-шника?

[Trotil]

Файл с собакой опять появился...

Выполни вот такой скрипт:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 ClearHostsFile;
 QuarantineFile('spap.sys','');
 QuarantineFile('C:\DOCUME~1\A0BA~1\APPLIC~1\SAFECH~1\fordslow.exe','');
 QuarantineFile('c:\docume~1\a0ba~1\applic~1\safech~1\build phone active.exe','');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Drv Audio Dog About\locks sign.exe','');
 QuarantineFile('C:\Program Files\Get-Torrent\TorrentManager.dll','');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

У тебя проверенный торрент-клиент? Потому что у его подозрительный файл: C:\Program Files\Get-Torrent\TorrentManager.dll (см. ниже)

http://www.castlecops.com/tk31758-WebManager_Class.html
http://torrentfreak.com/bitroll-bittorrent-client-installs-malware/

Насчет первых четырех практически уверен, что это этот вирус...

Карантин залить на файлообменник, а ссылку опубликовать здесь в скрытом блоке.

P.S. Постараюсь более оперативно отвечать

 

[Ольга Краш]

Trotil, ой... а я забыла как это "выполнить скрипт"?

 

[Trotil]

AVZ: Файл -> Выполнить скрипт.

Копируешь скрипт в окошко и нежно нажимаешь "Запустить".

Компьютер после выполнения скрипта перезагрузится.

 

[Ольга Краш]

Угу, ща сделаю.
Но знаешь, что забавно, вот уже около часа сижу в нете, а ни одного окна не выскочило. Уж и в эксплорер зашла, оттуда полазила везде - нет их. Может это какая-то кратковременная фигня была? Чудеса просто у меня тут

 

[Trotil]

Файлы отправил в вирусную лабораторию, больно они подозрительные. Ответ обычно бывает в течении суток.

В карантин не попал spap.sys. Жалко. Если не трудно, сделай еще раз лог AVZ (любой из двух) - посмотрим, есть ли он в системе или уже нет.

 

[Ольга Краш]

Вот, сделала.
За сегодня пока так ничего и не выскочило ещё
Смотри в конце:

 

[Trotil]

Ольга Краш
Посмотрел лог. Этот гад переименовался. Теперь он называется spss.sys.

Будь добра, удали все вручную из папки Карантин и выполни вот этот:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('spss.sys','');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Новый карантин пришли по такой же схеме.

 

[Ольга Краш]

Вот сделала
Ах... и как же я с тобой расплачиваться буду?

 

[Trotil]

Ольга Краш
Не поймался он - его размер 1 мб по факту... Наверное, опять переименовался.

 

[Ольга Краш]

Trotil, а ты уверен, что это вирусный файл?
А окошки-то у меня больше не выскакивают .

 

[Trotil]

Ольга Краш
Нет, на 100% не уверен. Но поведение очень подозрительное.

 

[Ольга Краш]

Trotil, ну вооот... рано радовалась... Они опять выскакивают .

CHeL, вот то, что ты просил
(кликабельно)

 

[Trotil]

Ольга Краш
Дык! Я же ничего не удалял...

 

[Ольга Краш]

Trotil, понятное дело. Видимо я чуда ждала...

 

[CHeL]

Ольга Краш
А что такое PnkBstrA.exe?

 

[Trotil]

А что такое PnkBstrA.exe?

PunkBuster - автоматически самообновляющаяся система программного обеспечения античитерства на сервере. Это означает, что за игроком в процессе игры устанавливается наблюдение PunkBusterом, которое отсылает на сервер все нарушения конкретного игрока. Система PunkBuster разработана, для того чтобы все игроки были ответственны за свои поступки в онлайн играх, при использовании читерских команд. PunkBuster не изменяет никаких файлов или функции настройки на вашем компьютере, даже если и обнаруживается некоторые типы нарушений во время игры у данного игрока, а просто выводит сообщение ему о нарушениях допущенных им и кикает (удаляет) игрока с сервера или же банит. Admin сервера в праве включать на сервере или не включать PunkBuster, всё зависит только от его желания. Вы можете в настройках игры отключить PunkBuster, но при этом у вас будет уже ограниченный список серверов, на которых тоже PunkBuster будет отключён. PunkBuster не является вирусной программой и создан для честной игры на сервере. Дополнительно, PunkBuster не передает ваши частные данные на любой другой компьютер, не содержет собственных баз данных в которых описаны ваши персональные данные. PunkBuster в основном только ищет не стандартные действия в процессе вашей игры.

http://dpk.com.ua/forums/?topic=1346.msg27758;topicseen

 

[Ольга Краш]

Хе... это я в Травиан играю, так наверное это он оттуда

 

[Trotil]

Ура! Пришел ответ из лаборатории Касперского:

Здравствуйте,

build phone active.exe - Trojan.Win32.Inject.oo,
fordslow.exe - Trojan.Win32.Inject.op,
locks sign.exe - Trojan.Win32.Inject.oq

Детектирование файлов будет добавлено в следующее обновление.

TorrentManager.dll

Вредоносный код в файле не обнаружен.

Пожалуйста, при ответе включайте переписку целиком.

--
С уважением, Владимир Крылов
Вирусный аналитик Лаборатории Касперского.

 

[Ольга Краш]

Trotil, ага... значит Троянчеги... и что мне теперь делать, учитель?

 

[Trotil]

Ольга Краш
Интересно, где же ты их поймала... Свеженькое! На вирустотале (комплексная проверка 32-мя антивирусами) - как вирус - не определял ни один, и только один антивирус назвал их "подозрительными".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\DOCUME~1\A0BA~1\APPLIC~1\SAFECH~1\fordslow.exe','');
 DeleteFile('c:\docume~1\a0ba~1\applic~1\safech~1\build phone active.exe','');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Drv Audio Dog About\locks sign.exe','');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Компьютер перезагрузится. И сделать три новых лога.