Трояны после переустановки системы

[zmirno]

После заражения троянами, была переустановлена система. Потом отсканировал её антивирусом NOD32, который продолжает находить вирусы, в том числе и в оперативной памяти. Некоторые файлы NOD удалил, некоторые отправил в карантин.
E:\autorun.inf Win32/PSW.Agent.NDP trojan
D:\autorun.inf Win32/PSW.Agent.NDP trojan
C:\autorun.inf Win32/PSW.Agent.NDP trojan
и другие
Это офисный запущенный компьютер без внимательного хозяина. Помогите разобраться. Посмотрите, пожалуйста, логи. Спасибо.

[Зайцев Олег]

Выполните скрипт AVZ (при отключенном мониторе NOD32):

begin
 QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
 QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
 QuarantineFile('\SystemRoot\System32\Drivers\aagz1p0z.SYS','');
 QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
 BC_ImportAll;
 BC_Activate;
 RebootWindows(true);
end.

и пришлите согласно правилам содержимое карантина

[zmirno]

Скрипт выполнил успешно. Выслал по правилам карантин
Файл сохранён как
070914_061740_virus_46ea6dd4a78d3.zip

Размер файла181922
MD5 4725278f6a61c7ab8ded5d3b427f7748


Жду дальнейших указаний

Добавлено через 1 минуту

Виноват, не отключил NOD32. Повторить скрипт?

Добавлено через 1 час 26 минут

Еще раз выполнил скрипт при выключенном NOD и снова выслал карантин.
Файл сохранён как 070914_074744_virus_46ea82f026881.zip
Размер файла 2311
MD5 2b50b6b0fe12de9759691afdba3d4eca

[PavelA]

Карантины пустые. Нод, наверное, постарался.

Выполнять в Safe Mode при выключенном антивирусе.

begin
 Clearquarantine;
 QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
 QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
 QuarantineFile('\SystemRoot\System32\Drivers\aagz1p0z.SYS','');
 QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
 BC_ImportAll;
 BC_Activate;
 RebootWindows(true);
end.

[zmirno]

Выполнил все в безопасном режиме, выслал карантин.
Получилось

Файл сохранён как 070914_090831_virus_46ea95df4ca5a.zip
Размер файла 2311
MD5 ce259f975cebc10c7d0246ca69909dc6

[AndreyKa]

выслал карантин.

Снова пусто.

[zmirno]

Что-нибудь можно предпринять? Добавить файлы в карантин по списку?

[Bratez]

Похоже всю компанию прикрывает этот wincab.sys.
Сделайте дополнительный лог в безопасном режиме.

[PavelA]

Ага. Искать естественно через AVZ.

[Bratez]

И еще пришлите файлы
D:\autorun.inf
E:\autorun.inf

[zmirno]

Выполнил скрипты в безопасном режиме. Высылаю логи.

[zmirno]

Не смог добавить в карантин по списку нужные файлы. Сообщение:

[IОшибка карантина файла, попытка прямого чтения (D:\autorun.inf)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (E:\autorun.inf)
Карантин с использованием прямого чтения - ошибка

и так далее

Как это сделать правильно?

Попытался найти файлы через AVZ-сервис-поиск файлов на диске
Но найдено - 0 файлов

[Bratez]

Нет его в драйверах! Вот чудо в перьях
Кстати, только сейчас заметил, что в скриптах карантина выше не был включен антируткит! Давайте попробуем такой скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\avpo.exe','');
 QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
 QuarantineFile('C:\WINDOWS\system32\avpo0.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\AC2003.sys','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('E:\autorun.inf','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Может теперь что-то поймается?

[zmirno]

Не выполняется скрипт.
Ошибка - not enough actual parameters в позиции 9:16

[Bratez]

Исправил, пробуйте снова.

[zmirno]

Скрипт выполнил успешно. Пробую выслать карантин

Файл сохранён как 070914_100719_virus_46eaa3a7ad794.zip
Размер файла 5764
MD5 d07a9a74debbed2470fbae39c3452e27

[Bratez]

Попал только ac2003.sys (чистый). Может эту троицу НОД уже прибил, а мы зря стараемся. Выполните этот скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\avpo.exe');
 DeleteFile('C:\WINDOWS\system32\wincab.sys');
 DeleteFile('C:\WINDOWS\system32\avpo0.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

и сделайте новые логи, как в первом сообщении.

[zmirno]

Выполнил скрипт, сделал логи. Жду результата. Спасибо.

Взгляните, пожалуйста, на логи.

[V_Bond]

все три явные злодеи ..... на время выполнения скрипта отключите нод ...
или выполните его в в SAFE MODE ....
выполните скрипт...

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('E:\autorun.inf','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

[zmirno]

Пока ожидал помощи, выполнил сканирование NOD. В протоколе:

C:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted

C:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000003.inf - Win32/PSW.Agent.NDP trojan – deleted

D:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted

D:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000007.inf - Win32/PSW.Agent.NDP trojan – deleted

D:\warez\supervisor.zip »ZIP »supervisor/provider.exe - probably unknown NewHeur_PE virus – скопирован в карантин

E:\autorun.inf - Win32/PSW.Agent.NDP trojan – deleted

E:\System Volume Information\_restore{F1092840-5CEE-44D4-A422-AA4360C3521D}\RP1\A0000008.inf - Win32/PSW.Agent.NDP trojan – deleted

E:\Мои документы\Володина\Тема\SOS\avz4\Quarantine\2007-09-14\bcqr00011.dta - Win32/PSW.Agent.NDP trojan – deleted

E:\Мои документы\Володина\Тема\SOS\avz4\Quarantine\2007-09-14\bcqr00012.dta - Win32/PSW.Agent.NDP trojan - deleted

Выполнил скрипт в AVZ c выключенным NOD, посылаю карантин, но, кажется, он пустой.

Файл сохранён как 070914_114110_virus_46eab9a6b601c.zip
Размер файла 1636
MD5 83c2b7ea0b126e51f82820a9479111c7


Ответ смогу посмотреть только завтра. Спасибо за помощь.