модифицированный Win32/Spy.SpyEye.CA троянская программа - очистка невозможна

[Allexe]

Добрый день!
На одном ПК в сети появилась зараза, которая не определяется в безопасном режиме DRWEB_CureIT.
Nod32 v4 сообщает следующее:

Имя колонки Значение
Идентификатор угрозы Угроза 2039
Имя клиента Sb1
Имя компьютера Sb1
MAC-адрес ************
Главный сервер ***********
Дата получения 2012-08-07 10:00:11
Дата обнаружения 2012-08-07 08:35:52
Уровень Критическое предупреждение
Сканер Модуль сканирования файлов, исполняемых при запуск
Объект файл
Имя winlogon.exe(884)
Угроза модифицированный Win32/Spy.SpyEye.CA троянская программа
Действие очистка невозможна
Пользователь DOMAIN\Silkin_ME
Информация
Детали Нет данных

[Info_bot]

Уважаемый(ая) Allexe, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Дeнис]

Allexe,
1. Сделайте лог полного сканирования MBAM + лог RSIT

2. Логи делали непосредственно с зараженной системы?

[Allexe]

Логи делали непосредственно с зараженной системы?

- да

[Дeнис]

Allexe,
Здравствуйте!

1. Отключите временно Антивирус/Фаервол.

2. Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Silkin_ME\Application Data\Thinstall\office\300000009e500002i\EXCEL.EXE','');
 DeleteFileMask('C:\systemhost', '*', true);
 DeleteDirectory('C:\systemhost');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

После перезагрузки!


3. Выполните скрипт в AVZ

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Сделайте лог AVZ + лог RSIT

[Allexe]

если это поможет "следствию", то вот ещё какие сообщения были с заражённого ПК позже:
====================
Имя колонки Значение
Идентификатор угрозы Угроза 2040
Имя клиента Sb1
Имя компьютера Sb1
MAC-адрес 001e8c6bc0dc
Главный сервер Resource-lk
Дата получения 2012-08-08 09:25:16
Дата обнаружения 2012-08-08 09:24:45
Уровень Предупреждение
Сканер Защита файловой системы в режиме реального времени
Объект файл
Имя C:\System Volume Information\_restore{716DB281-ABEB-4E1D-B8E6-82DFA4E2465E}\RP726\A0069699.exe
Угроза модифицированный Win32/Injector.UOR троянская программа
Действие очищен удалением - изолирован
Пользователь NT AUTHORITY\SYSTEM
Информация Событие произошло в файле модифицированном приложением: C:\WINDOWS\System32\svchost.exe.
Детали Нет данных
========================

Имя колонки Значение
Идентификатор угрозы Угроза 2041
Имя клиента Sb1
Имя компьютера Sb1
MAC-адрес 001e8c6bc0dc
Главный сервер Resource-lk
Дата получения 2012-08-08 10:40:11
Дата обнаружения 2012-08-08 10:38:34
Уровень Предупреждение
Сканер Защита файловой системы в режиме реального времени
Объект файл
Имя C:\System Volume Information\_restore{716DB281-ABEB-4E1D-B8E6-82DFA4E2465E}\RP724\A0069537.reg
Угроза Win32/RiskWare.HackAV.G приложение
Действие очищен удалением - изолирован
Пользователь DOMAIN\Silkin_ME
Информация Событие произошло при попытке запуска файла следующим приложением: C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe.
Детали Нет данных
===========================

- - - Добавлено - - -

запрошенные логи:

[Allexe]

что нибудь прояснилось по моему запросу? неделя прошла как выслал последние логи и карантин...

[Дeнис]

Allexe, Покажите содержимое файлов

C:\WINDOWS\tasks\At1.job
C:\WINDOWS\tasks\At2.job
C:\WINDOWS\tasks\At3.job
C:\WINDOWS\tasks\At4.job

+ вирусов нет у вас!

[Allexe]

Спасибо! Сообщений о вирусах более не наблюдалось, наверное можно закрывать тему

[Techno]

Удалите старые точки восстановления системы и создайте новую.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены