X.bat, ts.exe

[iwasyk]

Здравствуйте. Помогите пожалуйста разобраться. Как только авнтивирусник убивает эту дрянь, после перезагрузки она снова как живая. Сообщения постоянно после перезагрузки об ошибке shvhost, интернет блокируется по любым соединениям, антивирус обновиться не может.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\m.exe','');
 QuarantineFile('C:\WINDOWS\dn.exe','');
 QuarantineFile('C:\WINDOWS\system32\repsvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\74.exe','');
 QuarantineFile('C:\WINDOWS\system32\73.exe','');
 QuarantineFile('C:\WINDOWS\system32\38.exe','');
 DelCLSID('{67EFG7H6-8IJL-56YT-KLH4-76WE2D3RAM87}');
 QuarantineFile('C:\CONFIG\S-1-5-21-1482476501-1644491937-682003330-1013\ConfDriver.exe','');
 QuarantineFile('C:\WINDOWS\system32\dn.exe','');
 TerminateProcessByName('c:\windows\winlogin.exe');
 QuarantineFile('c:\windows\winlogin.exe','');
 TerminateProcessByName('c:\windows\ghdrive32.exe');
 QuarantineFile('c:\windows\ghdrive32.exe','');
 DeleteFile('c:\windows\ghdrive32.exe');
 DeleteFile('c:\windows\winlogin.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\dn.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Data Serivce');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','Windows');
 DeleteFile('C:\CONFIG\S-1-5-21-1482476501-1644491937-682003330-1013\ConfDriver.exe');
 DeleteFile('C:\WINDOWS\system32\38.exe');
 DeleteFile('C:\WINDOWS\system32\73.exe');
 DeleteFile('C:\WINDOWS\system32\74.exe');
 DeleteFile('C:\WINDOWS\system32\repsvc.exe');
 DeleteFile('C:\WINDOWS\dn.exe');
 DeleteFile('C:\m.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(8);
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[iwasyk]

Выполнил. Забыл вчера сказать, что при запуске постоянно сообщение, что невозможно войти в домен, проверьте имя и так далее. В карантине увидел winlogin, похоже на winlogon, подозреваю, это оно самое и есть.

[iwasyk]

Добавляю новые логи

[polword]

- Выполните скрипт в AVZ

begin
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RebootWindows(true);
end.

После перезагрузки обновите систему
- SP2 обновите до Service Pack 3(может потребоваться активация)
* Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
* Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3, см.тут
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут
- поставте Adobe Reader 10 или удалите старый.

[iwasyk]

О, Аладдин! Ты -чудо! Вроде как все в порядке. А обновляться обязательно? Ибо как происхождение ОС неизвестно, ни ключа, ни диска,на первый взгляд реаниматорская сборка и довольно старинная.

[thyrex]

Без обновления сетевой червяк вернется

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 28
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\dn.exe - Trojan.Win32.Jorik.Blazebot.aa ( DrWEB: Trojan.Inject.55243, BitDefender: Trojan.Generic.KD.191228 )
  2. c:\\windows\\ghdrive32.exe - Net-Worm.Win32.Kolab.yse ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.191232, NOD32: IRC/SdBot trojan, AVAST4: Win32:Kolab-EG [Trj] )
  3. c:\\windows\\system32\\dn.exe - Trojan.Win32.Jorik.SdBot.nq ( DrWEB: Trojan.Inject.55243, BitDefender: Trojan.Generic.KDV.193555, NOD32: Win32/AutoRun.IRCBot.FC worm )
  4. c:\\windows\\system32\\repsvc.exe - Trojan.Win32.VBKrypt.ddki ( DrWEB: Trojan.Siggen2.29921, BitDefender: Gen:Trojan.Heur.ZGY.5, AVAST4: Win32:Malware-gen )
  5. c:\\windows\\system32\\38.exe - Net-Worm.Win32.Kolab.yse ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.191232, NOD32: IRC/SdBot trojan, AVAST4: Win32:Kolab-EG [Trj] )
  6. c:\\windows\\system32\\73.exe - Net-Worm.Win32.Kolab.yse ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.191232, NOD32: IRC/SdBot trojan, AVAST4: Win32:Kolab-EG [Trj] )
  7. c:\\windows\\system32\\74.exe - Net-Worm.Win32.Kolab.yse ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.191232, NOD32: IRC/SdBot trojan, AVAST4: Win32:Kolab-EG [Trj] )
  8. c:\\windows\\winlogin.exe - Trojan.Win32.Jorik.SdBot.nq ( DrWEB: Trojan.Inject.55243, BitDefender: Trojan.Generic.KDV.193555, NOD32: Win32/AutoRun.IRCBot.FC worm )