Вирус mssrv32.exe помогите пожалуйста

[Elena13]

Здравствуйте!

Уже какой день подряд после обновления антивируса, nod32 обнаруживает и удаляет вирус в файле mssrv32, но только после перезагрузки. Этого не происходит файл вновь появляется при каждом запуске системы. Пробовала удалить в безопасном режиме и выполнить команду sc delete msupdate. при перезагрузке файл не появился (но только до следующего запуска винды)и после была полная проверка на вирусы, при которой обнаружено много зараженных файлов в system volume information.
Еще файл mssrv32.exe использует svchost процесс.
Так же в безоп.режиме Dr.Web Curelt находит только cicld.dll и удаляет. Но все возобновляется. Производилась проверка и антивир от майкрософта - безрезультатно.
Помогите пожалуйста решить проблему. Заранее спасибо.

[Info_bot]

Уважаемый(ая) Elena13, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mssrv32.exe','');
 QuarantineFile('c:\windows\system32\svchost.exe','');
 QuarantineFile('C:\WINDOWS\System32\cicld.dll','');
 TerminateProcessByName('c:\windows\system32\d3d9.exe');
 QuarantineFile('c:\windows\system32\d3d9.exe','');
 DeleteFile('C:\WINDOWS\System32\cicld.dll');
 DeleteFile('C:\WINDOWS\system32\d3d9.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Win');
 DeleteFile('C:\WINDOWS\system32\mssrv32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

[Elena13]

Вроде все сделала как надо, вот новые логи

[thyrex]

Сделайте лог полного сканирования МВАМ

[Elena13]

Сделала лог через mbam, ничего не удаляла.

[thyrex]

Удалите в МВАМ только указанные строки

Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\TNod (Trojan.Agent.CK) -> Not selected for removal.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\SERVICES\KeDetective131 (Trojan.Keservice) -> Not selected for removal.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Win (Backdoor.Bot) -> Value: Win -> Not selected for removal.

Объекты реестра заражены:
HKEY_CLASSES_ROOT\regfile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> Not selected for removal.

Зараженные файлы:
c:\program files\tnod user & password finder\uninst-tnod.exe (Trojan.Agent.CK) -> Not selected for removal.
d:\мои докум\Загрузки\u.e.4.4.1\allochook.dll (Trojan.Downloader) -> Not selected for removal.
d:\555\Загрузки\3po.ru_setup (1).exe (Trojan.Clicker) -> Not selected for removal.
d:\555\Загрузки\3po.ru_setup.exe (Trojan.Clicker) -> Not selected for removal.
d:\Ele\3po.ru_setup.exe (Trojan.Clicker) -> Not selected for removal.
c:\WINDOWS\system32\mssrv32.exe (Trojan.Agent) -> Not selected for removal.
c:\WINDOWS\system32\d3d9.exe (Backdoor.Bot) -> Not selected for removal.

[Elena13]

удалила указанные строки, но после того как компьютер начал перезагружаться появился синий экран 0x0000000A, повторила перезагрузку, на рабочем столе появилось пустое окно, где только ОК. но файлы mssrv32 и d3d9.exe остались, так же параметр в реестре тоже остался. Скажите, пожалуйста, что делает этот вирус, насколько он серьезен и возможно ли его удалить или проще переустановить винду? или можно и так работать на компе?

[Elena13]

вот еще проверила через WinDbg дамп памяти после синего экрана, вот результат

[thyrex]

Сделайте лог ComboFix

[Elena13]

ох, когда это уже все закончится, в антивирусе я временно отключала защиту. вот лог ComboFix

[thyrex]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\cicld.dll
c:\windows\system32\d3d9.exe

Driver::

Folder::
c:\program files\Ticno

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Elena13]

сделала, как сказали

[Elena13]

Кажется все получилось. Огромное Вам спасибо за помощь.
а ComboFix можно будет теперь удалить?
И я хотела бы еще поинтересоваться, знаю что нельзя ставить больше 1 антивируса,но можно ли оставить антивирус Microsoft Security Essentials при активном антивирусе нод32? не будут ли они мешать друг другу в работе?
Просто как то нод32 затупил и не обновлялся и видимо в тот момент был пойман вирус.

[thyrex]

Проблема решена?

[Elena13]

Надеюсь, что да. Все данные файлы удалены и при перезагрузке все в норме. Спасибо еще раз.

[thyrex]

Удалите ComboFix

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\cicld.dll - Trojan.Win32.Runner.ahw ( DrWEB: Trojan.Siggen3.6756, BitDefender: Trojan.Agent.28046, AVAST4: Win32:Malware-gen )
  2. c:\\windows\\system32\\d3d9.exe - Trojan.VBS.Starter.fd ( DrWEB: Trojan.Siggen3.14575, BitDefender: Trojan.Generic.6654545, NOD32: VBS/Agent.NFB trojan, AVAST4: Win32:Rootkit-gen [Rtk] )