Помогите почистить систему от вируса-баннера

[Cyber]

Доброго времени суток всем!

Помогите, пожалуйста, удалить последствия вируса. Ситуация следующая - комп чужой, подхватили вирус-баннер, раньше комп уже лечили, но плохо. Сам баннер убили вроде, а вот систему в норму не вернули. Не работает диспетчер задач, командная строка, нет доступа к редактированию реестра, не работает Интернет (браузеры ничего не могут загрузить). Все это не работает и в обычном режиме и в безопасном. AVZ не запускается - при запуске комп тут же уходит в перезагрузку. Запускал с флешки. CureIT некоторое время работает, находит несколько вирусов и зависает. Hijack просканировал и успел сохранить лог. Потом комп ушел в перезагрузку. Лог http://exfile.ru/100754

[01pump]

Cyber,
В инструкции альтернативные ссылки для скачивания avz с них попробуйте скачать и запустит avz

[Cyber]

01pump,
скачал, поставил - то же самое. Комп перезагрузился уже при заходе в папку aavz.

[01pump]

Cyber,
Это http://exfile.ru/100760 качать и сохранить на диске вот так C:\KatesKiller.exe
Затем выполнить следующую команду:
Пуск-Выполнить введите это C:\KatesKiller.exe -l report.txt и выполните. По окончании перезагрузитесь и пришлите report.txt(он рядом с утилиткой)

[Cyber]

01pump,
вот лог http://exfile.ru/100762 но ничего не найдено

[01pump]

Cyber,

Пробуйте в этой http://depositfiles.com/ru/files/3rawbt0lw версии avz лог сделать

[Cyber]

01pump,

появился баннер. Коды деактивации на сайте Касперского не подошли

[01pump]

Cyber,
Логи где?

[Cyber]

01pump,

В безопасном режиме сразу ушел в перезагрузку. В обычном режиме выскочила ошибка winlogon.exe - ошибка приложения. Если нажать OK, то комп перезагружается. Если не трогать ничего - avz запустился. Вот лог.

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
 QuarantineFile('D:\autorun.wsh','');
 QuarantineFile('L:\autorun.inf','');
 QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
 QuarantineFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espEF90.tmp','');
 QuarantineFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espF1A3.tmp','');
 QuarantineFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espE72.tmp','');
 QuarantineFile('\\?\globalroot\systemroot\system32\YhJdWum.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\Jtal5We.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\GFThk5K.exe','');
 QuarantineFile('C:\WINDOWS\system32\591add67.exe','');
 QuarantineFile('C:\WINDOWS\system32\30180aa3.exe','');
 QuarantineFile('C:\WINDOWS\system32\2f9a93a4.exe','');
 QuarantineFile('C:\WINDOWS\System32\netprotocol.exe','');
 QuarantineFile('C:\WINDOWS\System32\netprotocol.dll','');
 DeleteService('Netprotocol');
 SetServiceStart('Netprotocol', 4);
 QuarantineFile('C:\WINDOWS\system32\okii.dll','');
 QuarantineFile('c:\windows\system32\svchost.exe','');
 QuarantineFile('c:\documents and settings\ВАСЁК\application data\netprotocol.exe','');
 TerminateProcessByName('c:\documents and settings\ВАСЁК\application data\netprotocol.exe');
 DeleteFile('c:\documents and settings\ВАСЁК\application data\netprotocol.exe');
 DeleteFile('C:\WINDOWS\system32\okii.dll');
 DeleteFile('C:\WINDOWS\System32\netprotocol.dll');
 DeleteFile('C:\WINDOWS\System32\netprotocol.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Netprotocol\Parameters','ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Netprotocol');
 DeleteFile('C:\WINDOWS\system32\2f9a93a4.exe');
 DeleteFile('C:\WINDOWS\system32\30180aa3.exe');
 DeleteFile('C:\WINDOWS\system32\591add67.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\GFThk5K.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\Jtal5We.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\YhJdWum.exe');
 DeleteFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espE72.tmp');
 DeleteFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espF1A3.tmp');
 DeleteFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espEF90.tmp');
 DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
 DeleteFile('L:\autorun.inf');
 DeleteFile('D:\autorun.wsh');
 DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

ПК перезагрузится.

Выполнить скрипт в AVZ.

var
  qfolder: string;
  qname: string;
begin
  qname := GetAVZDirectory + '..\Quarantine\quarantine.zip';
  qfolder := ExtractFilePath(qname);
  if (not DirectoryExists(qfolder)) then CreateDirectory(qfolder);
  CreateQurantineArchive(qname);
  ExecuteFile('explorer.exe', qfolder, 1, 0, false);
end.

Вы увидите папку с архивом. Это - карантин.
Карантин отправьте на newvirus@tut.by (размер карантина должен быть больше 5кб)
Сделайте новые логи.

[Cyber]

snifer67,

Карантин отправил.
Лог avz - http://exfile.ru/100780
Лог Hijack - http://exfile.ru/100782

[01pump]

Cyber,

Выполните скрипт

 
begin
RegSearch('HKLM', '', 'espEF90.tmp');
RegSearch('HKLM', '', 'espF1A3.tmp');
RegSearch('HKLM', '', 'espE72.tmp');
SaveLog(GetAVZDirectory + 'avz.log');
end.

И пришлите лог avz.log из папки avz

[Cyber]

01pump,

Вот лог - http://exfile.ru/100790

[01pump]

Cyber,
Выполните этот скрипт

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espEF90.tmp');
DeleteFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espF1A3.tmp');
DeleteFile('C:\DOCUME~1\402B~1\LOCALS~1\Temp\espE72.tmp'); 
RegKeyDel('HKLM','SYSTEM\ControlSet001\Control\Print\Providers\62528A59');
RegKeyDel('HKLM','SYSTEM\ControlSet002\Control\Print\Providers\62528A59');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Control\Print\Providers\62528A59');
RegKeyDel('HKLM','SYSTEM\ControlSet001\Control\Print\Providers\A66C7749');
RegKeyDel('HKLM','SYSTEM\ControlSet002\Control\Print\Providers\A66C7749');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Control\Print\Providers\A66C7749');
RegKeyDel('HKLM','SYSTEM\ControlSet001\Control\Print\Providers\F7D77939');
RegKeyDel('HKLM','SYSTEM\ControlSet002\Control\Print\Providers\F7D77939');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Control\Print\Providers\F7D77939'); 
ExecuteSysClean;
ExecuteRepair(13); 
RebootWindows(true);
end.

После перезагрузки в обычной версии avz сделайте обновление баз и выполните стандартный скрипт №2 (virusinfo_syscheck.zip)

[Cyber]

01pump,

сделал
http://exfile.ru/100805