Nod32 4.0.314.0 ругается на вирус в lsass.exe и не может его вылечить [Trojan.Win32.Jorik.IRCbot.nup, Trojan-Dropper.Win32.Autoit.bdc ]

[Slovyan]

При заходе в win xp sp3 нод32 ругается на файл lsass.exe и пишет "Win32/VB.NRY троянская программа очистка невозможна". Кроме того при загрузки винды перестал запускаться explorer, приходиться вызывать диспетчер задач и запускать новую задачу.
Утилиты Curelt и AVPToll ничего не нашли.

[Info_bot]

Уважаемый(ая) Slovyan, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Никита Соловьев]

Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('d:\documents and settings\admin\application data\microsoft\lsass.exe');
 QuarantineFile('iexplorer.exe','');
 QuarantineFile('D:\Documents and Settings\Admin\Application Data\Microsoft\lsass.exe','');
 QuarantineFile('D:\Documents and Settings\Admin\Application Data\svchost.exe','');
 QuarantineFile('C:\Windows\system32\userinit.exe','');
 DeleteFile('D:\Documents and Settings\Admin\Application Data\svchost.exe');
 DeleteFile('D:\Documents and Settings\Admin\Application Data\Microsoft\lsass.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSWUpdate');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','lsass.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSWUpdate');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','MSWUpdate');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','svchost.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','muteysexymylul');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','svchost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','Microsoft');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

Компьютер перезагрузится.

Файл quarantine.zip пришлите нам, используя ссылку "прислать запрошенный карантин" над первым сообщением в этой теме.

Повторите действия, указанные в правилах. Прикрепите новые отчеты AVZ/hijackthis.

+ это http://virusinfo.info/showthread.php?t=53070

[Slovyan]

После выполнения скрипта и перезагрузки винда загрузилась нормально.
Высылаю логи.

[Никита Соловьев]

Удалите всё, что обнаружил МВАМ.
Повторите отчёт МВАМ.

[Slovyan]

Сделал все чисто.
Спасибо!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\\documents and settings\\admin\\application data\\microsoft\\lsass.exe - Trojan-Dropper.Win32.Autoit.bdc ( DrWEB: BackDoor.Blackshades.4 )
  2. d:\\documents and settings\\admin\\application data\\svchost.exe - Trojan.Win32.Jorik.IRCbot.nup ( DrWEB: Trojan.Packed.22789, BitDefender: Gen:Variant.Graftor.36594 )