Что меня окончательно убедило что меня тут обитает троян. Погуглив пришел к выводу что зараза работает как драйвер ядра – нечего хорошего =( AVZ – отказался запускать(прибивался по названию окна), ДрВеб – тоже не хотел работать потому что не мог получить себе ключ с их сайта. Помог Kaspersky Virus Removal Tool – со встроенным AVZ.

Я собрал им информацию и выкинул на форум касперского. В ответ мне был дан лечебный скрипт для AVZ в Kaspersky Virus Removal Tool :
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('yrK85');
StopService('xpE16');
StopService('xoK05');
StopService('Windows Internet Security');
StopService('tfivdd');
StopService('tcpsr');
StopService('sywtdxaz');
StopService('Rgd18');
StopService('myC65');
StopService('lyR30');
StopService('dkO41');
StopService('bpJ64');
RegKeyParamDel('HKEY_USERS','S-1-5-21-1004336348-261478967-682003330-1003\Software\Microsoft\Windows\CurrentVersion\Run','bresncs');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','herjek');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','bresncs');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','herjek');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','bresncs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Trickler');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WinNt32','DLLName');
QuarantineFile('WinNt32.dll','');
QuarantineFile('C:\WINDOWS\system32\umcqcpcv.exe','');
QuarantineFile('C:\WINDOWS\system32\sywtdxaz.sys','');
QuarantineFile('c:\windows\system32\mbdis.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\yrK85.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\xpE16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\xoK05.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rgd18.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\myC65.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\lyR30.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Gav62.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\dkO41.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\bpJ64.sys','');
QuarantineFile('c:\windows\system32\dhdjtb.exe','');
QuarantineFile('C:\WINDOWS\herjek.exe','');
QuarantineFile('C:\PROGRA~1\COLLAB~1\AUTOUP~1\AUTOUP~1.EXE','');
QuarantineFile('c:\documents and settings\1\local settings\temp\~vis0000\fsg_4104.exe','');
QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\u7oxweKY.sys','');
DeleteService('yrK85');
DeleteService('xpE16');
DeleteService('xoK05');
DeleteService('Windows Internet Security');
DeleteService('tfivdd');
DeleteService('tcpsr');
DeleteService('sywtdxaz');
DeleteService('Rgd18');
DeleteService('myC65');
DeleteService('lyR30');
DeleteService('dkO41');
DeleteService('bpJ64');
DeleteFile('WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\WlCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\wlctrl32.dll');
DeleteFile('C:\WINDOWS\system32\winctrl32.dll');
DeleteFile('C:\WINDOWS\system32\umcqcpcv.exe');
DeleteFile('C:\WINDOWS\system32\sywtdxaz.sys');
DeleteFile('c:\windows\system32\mbdis.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\yrK85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\xpE16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\xoK05.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rgd18.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\myC65.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\lyR30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Gav62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\dkO41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\bpJ64.sys');
DeleteFile('c:\windows\system32\dhdjtb.exe');
DeleteFile('C:\WINDOWS\system323.tmp');
DeleteFile('C:\WINDOWS\herjek.exe');
DeleteFile('c:\documents and settings\1\local settings\temp\~vis0000\fsg_4104.exe');
DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\u7oxweKY.sys');
BC_DeleteSvc('yrK85');
BC_DeleteSvc('xpE16');
BC_DeleteSvc('xoK05');
BC_DeleteSvc('Windows Internet Security');
BC_DeleteSvc('tfivdd');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('sywtdxaz');
BC_DeleteSvc('Rgd18');
BC_DeleteSvc('myC65');
BC_DeleteSvc('lyR30');
BC_DeleteSvc('dkO41');
BC_DeleteSvc('bpJ64');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 3, 3, true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После чего я смог установить drWeb и поймать вирус – он кстати был уже известен DrWeb’у

Вирусом оказался Trojan.Packed.20771 . Но между делом нашелся ещё один троян : Bat.KillFiles – это бантик с примерно таким содержимым:
@ec_ho off
:try
@d_el /F /Q "C:\Program Files\Internet Explorer\IEXPLORE.EXE"
if ex_ist "C:\Program Files\Internet Explorer\IEXPLORE.EXE" goto try


(Основные команды вируса Bat.KillFiles завалены чтоб не напрягать антивирь =)) )

Работает это так:

php b.php [директория с исходними данным] [Директория с результатом]

Первый параметр – это директория где собственно ведется разработка или выгружается из CVS. Второй параметр это куда будут помешены результаты оптимизации. Структура директорий сохраняется. Так же в поставку включен YUI Compressor. И файл 1.cmd – это пример работы скрипта (там добавляются так же переменные в среду окружения чтобы запустить php и java ) . Для оптимизации phtml файлом используется Оптимизатор HTML/XML/JS/CSS кода на PHP с форума dklab.ru. Более подробно о копирайтах смотрите в readme файлах.

Скачать мой оптимизатор можно тут

UPD: Drweb пока не детектит
Проверка: Snatch.exe
Версия антивирусного ядра: 5.0.2.3300
Вирусных записей: 1595271
Размер файла: 916.50 КБ
MD5 файла: 058ebc415a27694b7cff3093cfaf2f4a
Snatch.exe – Ok

Ads: В башкирии есть не только нефть, но и сайты делают: создание сайтов

После того как вы заполните все поля правильно вы попадете на страницу где сможете получить ссылку перейдя по которой вы добавите себе виджет на страницу яндекса и которую надо всем раздавать чтоб они тоже поставили себе ваш виджет.

Приглашения от меня:

http://getgoodlinks.ru/?inv=b84s2i

http://getgoodlinks.ru/?inv=2jsh61

http://getgoodlinks.ru/?inv=j9qdcc

http://getgoodlinks.ru/?inv=agz2jv

http://getgoodlinks.ru/?inv=hi3ck6

http://getgoodlinks.ru/?inv=2kx2ar

http://getgoodlinks.ru/?inv=jd76h9

http://getgoodlinks.ru/?inv=z1mrx9

http://getgoodlinks.ru/?inv=3ediim

http://getgoodlinks.ru/?inv=74fms9

http://getgoodlinks.ru/?inv=pseqzg

http://getgoodlinks.ru/?inv=nusege

Перейдя по ссылке надо затем перейти по ссылке регистрация и если там нет формы для регистрации – значит писать мне на почту admin(на)dotsb.net.ru и просить инвайт.

Инвайты обновлены 9.07.2010 10:45 (+5)