[решено] Подозрение на KeyLogger и RootKit

[valenta744]

Доброй ночи! Я к вам снова с криком о помощи. Новые пароли с моей почты сегодня же снесли повторно, пришлось восстанавливать снова. Т.е. я так понимаю, у меня поселился перехватчик клавы или просто сперли wand.dat? Avira и Outpost молчат, как рыбы, Malwarebytes' Anti-Malware тоже ничего не нашла, Avz на кое-что среагировал. Вот лог:

[Analyzer]

сделайте логи по правилам (http://forum.oszone.net/post-717370-1.html).

[iskander-k]

Вот лог: »
Это не те логи.

[Drongo]

valenta744, Нужно прикрепить пару файлов от логов AVZ

1. virusinfo_syscure.zip
2. virusinfo_syscheck.zip

[valenta744]

Спасибо, разобралась, как их делать. В безопасном режиме проверяла Dr.Web - ничего, Malwarebytes' Anti-Malware - результат Rootkit.Agent.H и Trojan.KillAV, SUPERAntiSpyware Free Edition - ничего, Virus Removal Tool - ничего, кроме некритических обнаружений кучи уязвимостей.
Собственно логи AVZ:

[valenta744]

Еще Malwarebytes' Anti-Malware постоянно высвечивает сегодня: ip 212.113.36.14 обнаружено заражение. Иногда другие. Что это вообще значит? Ссылка, на которую я перехожу, содержит в себе вредоносный код? А если никакие страницы не открываю, а сообщение о блокировке ip появляется, то тогда как - через порты заражают?
И еще, в последнее время ни Avira, ни Outpost вообще ничего не обнаруживают.
Еще неделю назад отключала службу терминалов и планировщик заданий, теперь смотрю, опять включены.
А что за программка KeyScrambler, стоит устанавливать, а то уже одну установила, еле избавилась :)

[valenta744]

Сегодня попытаюсь обновить Windows, может какие-то дыры закроются. Переустанавливать все еще не хочу, пытаюсь бороться с вирусами до последнего, заодно чему-то научусь, пригодится на будущее. Жаль времени на все мало.

[valenta744]

Так-с, винду обновила. Что дальше делать, не знаю. Кроме всего возникла попутная проблема (еще до обновления). Флешки не открываются и не удается отформатировать ни стандартно, ни через проги для флешек. На другом компе эти же 2 флешки открываются. В чем может быть проблема? Может я какие-то службы нужные поотключала?

[akok]

Деинсталируйте AVPTool.

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Как использовать ComboFix - Руководство по применению (http://virusnet.info/forum/showthread.php?t=2773)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe



Скачайте Gmer (http://www.gmer.net/gmer.zip) или с зеркала (http://virusnet.info/soft/gmer.zip). Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку Scan. После окончания проверки сохраните его.

[valenta744]

Делаю консоль восстановления, высветилось окно
disclaimer of warranty on software
Консоль не создан?
Или все так и должно быть. Я не увидела там надписи, что консоль восстановления создан.

[valenta744]

В появившемся окне

"disclaimer of warranty on software

the following websites are not in any way affiliated to combofix
if you have purchased anything from them, i suggest you instruct your financiers to cancel the transaction
A guide on proper combofix usage may be found at http...
Combofix is meant for private use. It should never be used in an unsupervised environment. If infections are found, it will automatically reboot the machine to complete the removal process. Please ensure all opened windows are closed before proceeding.
This software is provided "as is", without warranty of any kind. All implied warranties are expressly disclaimed. If you do not agree to the above terms, please click NO to exit"

нажала NO для выхода, а другое окно "Список автозамены" пустое так и сталось висеть. Пожалуйста, подскажите, что делать дальше.

Можно ли уже запускать ComboFix?
И еще вопрос. Интернет и локалку можно отключить на время, пока ComboFix будет сканировать систему?

[iskander-k]

"disclaimer of warranty on software
the following websites are not in any way affiliated to combofix »
перевод от промта
следующие вебсайты ни в коем случае не присоединены к combofix если Вы купили что-нибудь от них, я предлагаю, чтобы Вы проинструктировали своих финансистов отменять сделку Гид на надлежащем combofix использовании может быть найден в http... Combofix предназначается для частного использования. Это никогда не должно использоваться в неконтролируемой окружающей среде. Если инфекции будут найдены, то это автоматически перезагрузит машину, чтобы закончить процесс удаления. Пожалуйста гарантируйте, что все открытые окна закрыты перед переходом. Это программное обеспечение обеспечено, "как", без гарантии любого вида. Все подразумеваемые гарантии являются явно непризнанными. Если Вы не соглашаетесь на вышеупомянутые сроки, пожалуйста щелкните НЕ, чтобы выйти"
Надо было нажать на ДА.

[valenta744]

Надо было нажать на ДА. »
Просто перед тем, как запустить ComboFix, мне нужно позакрывать все окна, программы и Оперу. Вроде в правилах там сказано, нажать нет, все закрыть потом запустить ComboFix и не трогать мышку. А переводчиком я воспользовалась конечно, вот оттуда и не поняла, создан ли консоль и можно ли продолжать.
Ладно, пошла мучать комп

[valenta744]

Вот, что вышло после ComboFix и Gmer

[akok]

Что с проблемами?

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду ComboFix /Uninstall, нажмите кнопку "ОК"
http://virusnet.info/images/Combofix-unninstal.JPG

Скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe) или с зеркала (http://virusnet.info/forum/downloads.php?do=file&id=19&act=down), запустите, нажмите Clean up

[valenta744]

Проблемы есть, процессор все время грузится, комп тормозит, Опера виснет и скорость инета падает.
Сделала ComboFix /Uninstall, он не деинсталируется, высветилось окно
CD-emulation!!
CD-emulation drivers are running on this machine.
ComboFix needs to temporarlly disable them

А перед этим показал, что у меня где-то опять запущен этот долбаный CyberDefender. Как от него избавиться, скачала на свою голову "антишпиончик" :) Хотя проблемы в общем-то до него еще начались.

Нажала OK, комп перегрузился, ComboFix деинсталировался. Но я так понимаю, что CyberDefender где-то висит.
OTCleanIt - тоже сделала

[valenta744]

AVZ нашел, что с этим делать, подскажите :help: файлы в карантине.
C:\Program Files\Agnitum\Outpost Security Suite Pro\op_install.bak - PE файл с нестандартным расширением(степень опасности 5%)
C:\System Volume Information\_restore{A9896464-92E6-41BD-B067-A15445599C8C}\RP2\A0000199.pif - PE файл с нестандартным расширением;PE файл с измененным расширением, допускающим запуск (присуще вирусам)(степень опасности 40%)
Файл успешно помещен в карантин (C:\System Volume Information\_restore{A9896464-92E6-41BD-B067-A15445599C8C}\RP2\A0000199.pif)
C:\System Volume Information\_restore{A9896464-92E6-41BD-B067-A15445599C8C}\RP3\A0001372.pif - PE файл с нестандартным расширением;PE файл с измененным расширением, допускающим запуск (присуще вирусам)(степень опасности 40%)
Файл успешно помещен в карантин (C:\System Volume Information\_restore{A9896464-92E6-41BD-B067-A15445599C8C}\RP3\A0001372.pif)

И вот еще:

X700XEEK6 Mustang\X700XEEK6 Mustang.TFS MailBomb detected !
X700XEEK6 Mustang\X700XEEK6 Mustang.TFS MailBomb detected !
X700XEEK6 Mustang\X700XEEK6 Mustang.TFS MailBomb detected !
X700XEEK6 Mustang\X700XEEK6 Mustang.TFS MailBomb detected !
X700XEEK6 Mustang\X700XEEK6 Mustang.TFS MailBomb detected !
X700XEEK6 Mustang\X700XEEK6 Mustang.TFS MailBomb detected !
X700XEEK6 Mustang\X700XEEK6 Mustang.TFS MailBomb detected !
USDplusCAP-3seria.avi MailBomb detected !

А этот MailBomb что делает? Определенного ничего не нашла. То ли спам рассылает, то ли как раз пароли тырит?

[valenta744]

Что это еще за чудо? AnVir показал опасными файлы Avira на 28%, я проверила avguard.exe и avmailc.exe(MailGuard) на VirusTotal, показало заражение Heuristic.BehavesLike.Win32.Dropper.H. (Generic Dropper.h (McAfee), он же Trojan.BAT.KillAV.cr?) Что с ним делать? Удалить Авиру что ли?

В папке Авиры есть файл SysDir, в ключах реестра нашла 2 ключа, в которых прописано "%SysDir%\windrv32.exe" (нашла на сайте Касперского в описании червя Email-Worm.Win32.Mydoom.t), эти 2 ключа удалила, Авира вроде работает :).

Снесла Оутпост, поставила версию 7 beta, он мне нашел троян BZub. А старый молчал, как рыба. А сейчас вижу снова окна с блокировкой атак. Все-таки был заражен и Оутпост?

[valenta744]

Нет, что-то все-таки не то с компом явно, жутко тормозит и виснет. На virusinfo сказали, что ничего подозрительного нет. Сейчас выложу новые логи. Помогите, пожалуйста, разобраться.

[valenta744]

Добрый день! Люди знающие, ну ответьте мне хоть что-то, чтоб я знала. Вы молчите, потому что в логах ничего подозрительного нет? И то, что каждый день сама удаляю по 1-3 троянчика, это не подозрительно? Значит, где-то в системе дыры? Или я слишком переживаю по этому поводу? Может это обычное дело, что постоянно вирусы цепляются?