Множество вирусов, в том числе и в пространстве ядра

[Imaginarys]

Доброго времени суток! Сестра попросила "почистить" ноут. В общем там было много много вирусов... Я сначала проверил с помощью cureit, нашло около 400 вирусов. Сегодня выполнил лог лечения/карантина. Там есть вирус(ы) в модулях ядра. Нужно очистить Temp, ну и еще что нужно сделать скажите плиз.
log AVZ: http://webfile.ru/4370717

[winshelp]

Imaginarys, здравствуйте!
Может вспомните название вируса который преобладал при лечении cureit.

---------- Добавлено в 11:05 ---------- Предыдущее сообщение было написано в 10:54 ----------

Необходимо в AVZ включить функцию AVZPM:

Выбрать в верхнем меню AVZPM, установить драйвер расширенного мониторинга процессов.
Если появиться окошко, то согласиться ( Выбрать :ДА, ОК и тому подобное )
Перегрузить компьютер.

Сделать еще раз стандартный скрипт в AVZ №3 + лог программой HiJackThis.

[Iljeben]

Imaginarys, Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('dwshd.sys');
 DeleteFile('C:\Documents and Settings\Юля\Application Data\kvmm.exe');
 DeleteFile('C:\WINDOWS\system32\XP-07C20C50.EXE');
 DeleteFile('C:\DOCUME~1\D18E~1\LOCALS~1\Temp\Bw1.exe');
 DeleteFile('C:\WINDOWS\Bpusie.exe');
 DeleteFile('drw13.tmp');
 DeleteFile('C:\WINDOWS\system32\sshnas21.dll');
 DeleteFile('C:\DOCUME~1\D18E~1\LOCALS~1\Temp\Bw1.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\SSHNAS\Parameters','ServiceDll');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится. Выполните:

Выбрать в верхнем меню AVZPM, установить драйвер расширенного мониторинга процессов.
Если появиться окошко, то согласиться ( Выбрать :ДА, ОК и тому подобное )
Перегрузить компьютер.

Сделать еще раз стандартный скрипт в AVZ №3 + лог программой HiJackThis.

[Imaginarys]

вот архив, в нем 3 лога, cureit. hijack. avz. Драйвер установился.
http://webfile.ru/4370951

[help?]

Проверьте этот файл-C:\WINDOWS\system32\XP-07C20C50.EXE на www.virustotal.com
Дайте ссылку на результат.

[Imaginarys]

Вот проверка флешки взятой с ноута, но проверенной уже на моем компе.


---------- Добавлено в 15:11 ---------- Предыдущее сообщение было написано в 15:08 ----------

я его проверить могу только так: Копирнуть с ноута на флешку, потом проверить его на этом компьюторе, моем?

---------- Добавлено в 15:11 ---------- Предыдущее сообщение было написано в 15:11 ----------

выполнять сейчас скрипт Iljebenа ?

[help?]

Проверьте этот файл-C:\WINDOWS\system32\XP-07C20C50.EXE на www.virustotal.com
Дайте ссылку на результат.
Выполните это!Выполняйте скрипт Iljeben!Повторите логи(куреита не надо пока).
Да так и проверяйте,потом скрипт выполнить,потом новые логи.

[Iljeben]

Сообщение от help?

Проверьте этот файл-C:\WINDOWS\system32\XP-07C20C50.EXE на www.virustotal.com

Зловред.

Сообщение от Imaginarys

выполнять сейчас скрипт Iljebenа ?

Выполняйте. Сделайте Стандартный скрипт N2 и пришлите архив virusinfo_syscheck.zip.

[bvas]

Imaginarys,

Сообщение от Imaginarys

Вот проверка флешки взятой с ноута, но проверенной уже на моем компе.

Описание вируса почитайте здесь http://vms.drweb.com/virus/?i=172457

Сообщение от Imaginarys

ну и еще что нужно сделать скажите плиз.

Установить патчи, указанные в следующих информационных бюллетенях Microsoft:
MS08-067;
MS08-068;
MS09-001.
Чтоб зловред больше не пробрался и Антивирус соответственно, но это потом ,когда вылечите комп!!!

[Imaginarys]

http://webfile.ru/4371107 - syschek

Нужно же отключить автозапуск с флешек, или это уже сделано было?

[help?]

Выполните скрипт в AVZ скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteFile('C:\WINDOWS\Bpusie.exe');
 BC_DeleteFile('C:\DOCUME~1\D18E~1\LOCALS~1\Temp\Bw1.exe');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFile('C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job');
DeleteFile('C:\Windows\Tasks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job');
DeleteFileMask('C:\Windows\Tasks', '*.*', true);
DeleteFileMask('C:\DOCUME~1\D18E~1\LOCALS~1\Temp', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Комп.перезагрузится!Потом 2 скрипт в AVZ:

Begin
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer', 'NoDriveTypeAutoRun', '223');
end.

Еще раз стандартный скрипт 2 и лог сюда.

[Iljeben]

[QUOTE='Imaginarys;197304']Нужно же отключить автозапуск с флешек, или это уже сделано было?
Хмм... А что, он запустился? Вроде же отключал.

[help?]

Сообщение от Imaginarys

Нужно же отключить автозапуск с флешек, или это уже сделано было?
Хмм... А что, он запустился? Вроде же отключал.

В своих скриптах я все предусмотрел

[Imaginarys]

Я ж не знаю, поэтому и спросил
http://webfile.ru/4371225
Лог после выполненных задач.

[Iljeben]

Сообщение от Imaginarys

Я ж не знаю, поэтому и спросил
http://webfile.ru/4371225
Лог после выполненных задач.

Чисто. Ну можно еще это удалить:

begin
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 DelBHO('{7778AA60-698A-41D9-9BF0-7AB41045AA7F}');
 DelBHO('{963B125B-8B21-49A2-A3A8-E37092276531}');
ExecuteSysClean;
end.