модифицированный win32/Expiro.T вирус (заявка №67422)

[CyberHelper]

Пользователь обратился в сервис 911, указав на следующие проблемы в работе его компьютера:
антивирус все exe-шные файлы принимает за инфицированые, но удалить(очистить) их не может даже после перезагрузки. И через 5 мин. работы компьютер сам выключается с синим окном в котором помимо разных символом разборчиво написано только windows login
Дата обращения: 23.04.2011 22:05:39
Номер заявки: 67422

[CyberHelper]

23.04.2011 23:20:07 на зараженном компьютере были обнаружены следующие вредоносные файлы:

1. F:\\d\\net\\2009\\HideToolz v2.1.exe - not-a-virus:RiskTool.Win32.HideProc.q
   
   • размер: 97792 байт
   • дата файла: 12.01.2010 19:38:40
   • детект других антивирусов: DrWEB 6.0: Зловред Tool.HideApp.32; BitDefender: Зловред Rootkit.37632
2. C:\\WINDOWS\\inf\\unregmp2.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 318464 байт
   • дата файла: 15.04.2011 7:15:52
   • версия: "11.0.5721.5235 (WMP_11.070626-2109)"
   • копирайты: "(C) Корпорация Майкрософт. Все права защищены."
3. C:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 558080 байт
   • дата файла: 15.04.2011 7:17:26
   • версия: "5.1.2600.5512 (xpsp.080413-0852)"
   • копирайты: "© Microsoft Corporation. All rights reserved."
4. C:\\WINDOWS\\PCHealth\\HelpCtr\\Binaries\\HelpCtr. exe - подозрительный, обрабатывается вирлабом
   
   • размер: 769024 байт
   • дата файла: 15.04.2011 7:17:30
   • версия: "5.1.2600.5512 (xpsp.080413-2108)"
   • копирайты: "© Microsoft Corporation. All rights reserved."
5. c:\\windows\\system32\\cisvc.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 5632 байт
   • дата файла: 15.04.2011 6:59:48
   • версия: "5.1.2600.5512 (xpsp.080413-0852)"
   • копирайты: "© Microsoft Corporation. All rights reserved."
6. C:\\WINDOWS\\System32\\cscript.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 151552 байт
   • дата файла: 17.04.2011 18:39:22
   • версия: "5.7.0.18066"
   • копирайты: "Copyright (C) Microsoft Corp. 1996-2006, All Rights Reserved"
7. c:\\windows\\system32\\dllhost.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 5120 байт
   • дата файла: 15.04.2011 7:00:04
   • версия: "5.1.2600.5512 (xpsp.080413-2108)"
   • копирайты: "© Microsoft Corporation. All rights reserved."
8. c:\\windows\\system32\\dmadmin.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 224768 байт
   • дата файла: 15.04.2011 7:00:08
   • версия: "2600.5512.503.0"
   • копирайты: "© Корпорация Майкрософт, 1985-2000. Все права защищены.
     Фрагменты © Veritas Software, 1997-2000. Все права защищены."
9. C:\\WINDOWS\\system32\\ie4uinit.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 173056 байт
   • дата файла: 17.04.2011 19:02:46
   • версия: "8.00.6001.22945 (longhorn_ie8_ldr.091027-0100)"
   • копирайты: "© Microsoft Corporation. All rights reserved."
10. C:\\WINDOWS\\system32\\imapi.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 150528 байт
    • дата файла: 15.04.2011 7:00:20
    • версия: "5.1.2600.5512 (xpsp.080413-2105)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
11. C:\\WINDOWS\\system32\\locator.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 75264 байт
    • дата файла: 15.04.2011 7:00:38
    • версия: "5.1.2600.5512 (xpsp.080413-2108)"
    • копирайты: "© Microsoft Corporation. All rights reserved."
12. C:\\WINDOWS\\system32\\netdde.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 113664 байт
    • дата файла: 15.04.2011 7:00:32
    • версия: "5.1.2600.5512 (xpsp.080413-2105)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
13. C:\\WINDOWS\\system32\\progman.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 109568 байт
    • дата файла: 17.04.2011 19:08:20
    • версия: "5.1.2600.5512 (xpsp.080413-2105)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
14. C:\\WINDOWS\\system32\\rsvp.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 132608 байт
    • дата файла: 15.04.2011 7:00:42
    • версия: "5.1.2600.0 (xpclient.010817-1148)"
    • копирайты: "© Microsoft Corporation. All rights reserved."
15. C:\\WINDOWS\\System32\\SCardSvr.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 96768 байт
    • дата файла: 15.04.2011 7:00:44
    • версия: "5.1.2600.5512 (xpsp.080413-2113)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
16. C:\\WINDOWS\\system32\\sessmgr.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 141824 байт
    • дата файла: 15.04.2011 7:00:34
    • версия: "5.1.2600.5512 (xpsp.080413-2111)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
17. C:\\WINDOWS\\system32\\shmgrate.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 45056 байт
    • дата файла: 17.04.2011 19:11:52
    • версия: "5.1.2600.5512 (xpsp.080413-2105)"
    • копирайты: "© Microsoft Corporation. All rights reserved."
18. C:\\WINDOWS\\system32\\smlogsvc.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 91648 байт
    • дата файла: 15.04.2011 7:00:44
    • версия: "5.1.2600.5512 (xpsp.080413-2108)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
19. c:\\windows\\system32\\tlntsvr.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 73216 байт
    • дата файла: 15.04.2011 7:00:46
    • версия: "5.1.2600.5512 (xpsp.080413-0852)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
20. C:\\WINDOWS\\System32\\ups.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 18432 байт
    • дата файла: 15.04.2011 7:00:50
    • версия: "5.1.2600.5512 (xpsp.080413-2113)"
    • копирайты: "© Microsoft Corporation. All rights reserved."
21. C:\\WINDOWS\\System32\\userinit.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 26624 байт
    • дата файла: 17.04.2011 19:14:56
    • версия: "5.1.2600.5512 (xpsp.080413-2113)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
22. c:\\windows\\system32\\vssvc.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 290304 байт
    • дата файла: 15.04.2011 7:00:54
    • версия: "5.1.2600.5512 (xpsp.080413-2108)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
23. C:\\WINDOWS\\System32\\Drivers\\sptd.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 721904 байт
    • дата файла: 20.10.2010 21:57:12
    • версия: "1.58.0.0 built by: WinDDK"
    • копирайты: "Copyright (C) 2004"
24. C:\\Documents and Settings\\Admin\\Рабочий стол\\джампы\\Binary\\Oracle.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 40448 байт
    • дата файла: 15.04.2011 0:32:28
    • версия: "1.0"
    • копирайты: "ntKid"
25. C:\\Documents and Settings\\Admin\\Рабочий стол\\джампы\\PWmp5.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 602112 байт
    • дата файла: 15.04.2011 0:32:34
26. C:\\Documents and Settings\\Admin\\Рабочий стол\\Новая папка\\jsBot.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 573440 байт
    • дата файла: 19.11.2010 21:52:50
    • версия: "1.1.2.11"
27. C:\\Program Files\\\\Outlook Express\\setup50.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 73216 байт
    • дата файла: 15.04.2011 7:10:22
    • версия: "6.00.2900.5512 (xpsp.080413-2105)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
28. C:\\Program Files\\Outlook Express\\setup50.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 73216 байт
    • дата файла: 15.04.2011 7:10:22
    • версия: "6.00.2900.5512 (xpsp.080413-2105)"
    • копирайты: "© Корпорация Майкрософт. Все права защищены."
29. C:\\Program Files\\Common Files\\InstallShield\\Driver\\11\\Intel 32\\IDriverT.exe - подозрительный, обрабатывается вирлабом
    
    • размер: 69632 байт
    • дата файла: 15.04.2011 0:47:08
    • версия: "11.00.28844"
    • копирайты: "Copyright (C) 2005 Macrovision Corporation"
30. C:\\WINDOWS\\System32\\Drivers\\sptd.sys - подозрительный, обрабатывается вирлабом
    
    • размер: 721904 байт
    • версия: "1.58.0.0 built by: WinDDK"
    • копирайты: "Copyright (C) 2004"