Прошу помочь дочистить систему

[KSM]

Все добрый день!
Прошу помочь дочистить системы после вируса. Пляски с антируткитами и безопасным режимом устранили признаки заражения (запуск левого окна, похожего на антивирус и сбитая ассоциация расширений файлов), но хочу довести дело до конца. Файлы приложены.

Спасибо!

[Info_bot]

Уважаемый(ая) KSM, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Шапельский Александр]

Выполните скрипт

var
i : integer;
KeyList : TStringList;                      
begin
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then
 begin
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS') then
  begin
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\BITS исправлено на оригинальное.');
  end;
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv') then
  begin 
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\wuauserv исправлено на оригинальное.');
  end;
 end;
KeyList.Free;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.

Сделайте лог МВАМ и логи АВЗ обычной версией

[KSM]

Спасибо, а что значит лог МВАМ

UPD все увидел ссылку, щас сделаю))

[KSM]

Сделал. Посмотрит плиз

[Шапельский Александр]

Удалите в МВАМ все, что найдено, сделайте новый лог

[KSM]

Сделал

[Шапельский Александр]

Выполните скрипт

var
i : integer;
KeyList : TStringList;                      
begin
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then
 begin
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS') then
  begin
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\BITS исправлено на оригинальное.');
  end;
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv') then
  begin 
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+KeyList[i]+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+KeyList[i]+'\Services\wuauserv исправлено на оригинальное.');
  end;
 end;
KeyList.Free;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.

Файл fystemRoot.log прикрепите к новому сообщению
Сделайте логи АВЗ обычной версией

[KSM]

Скажите, а что значит "обычной версией"? Обычное сканирование, а не рекомендуемый скрипт, а?

[Шапельский Александр]

Логи АВЗ у Вас сделаны

AVZ версии 4.32 private build

Скачайте АВЗ v.4.35--http://z-oleg.com/secur/avz/download.php

[KSM]

Сделал

[Шапельский Александр]

Внимание !!! База поcледний раз обновлялась 25.08.2010 необходимо обновить базы при помощи автоматического обновления

Обновите базу и сделайте новый логи virusinfo_syscheck.zip, virusinfo_sysсure.zip

[KSM]

Готово

[Шапельский Александр]

Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('G:\autorun.inf','');
 DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Закачайте карантин
Сделайте лог Gmer

[KSM]

Карантин закачал :
Результат загрузки
Файл сохранён как 110821_182815_2011-08-21_4e514e3f4d7b2.zip
Размер файла 893
MD5 01763dd8bc453477407ecc7e92161bb9


Лог gmer приложил

[Шапельский Александр]

Чисто, что с проблемой?

Рекомендую:
- SP2 обновить до Service Pack 3 (может потребоваться активация)
!!! перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.);
- установить Internet-Explorer 8.(даже если Вы его не используете);
- установить последние обновления системы Windows - здесь;
- установить Adobe Reader 9.3 или удалить старый.

[KSM]

Проблема исчезла. За советы и помощь спасибо!
А подскажите, почему в логах AVZ остаются строчки типа "Функция NtCreateKey (29) перехвачена". Это нормально?

[Bratez]

Это нормально?

Да.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены