заражено - bolenjx.exe

[ivklim]

1. даже в сейф режиме не грузяться антивири, HijackThis spywaredoctor и пр.

2. Пришибить процесс subj после двух дней борьбы не удается - не стиранием зараженных файлов, которые все время разные (user32.dat, bolenjx.exe blh.) не чистой реестра; всё в safe mode

3. avd работает после переименования ехе и папки - логи по инструкции приаттачил

4. Помогите, все перепробовали, закавыка какая-то

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('kus552.dat','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Beep.SYS','');
 QuarantineFile('C:\WINDOWS\system32\users32.dat','');
 QuarantineFile('c:\windows\system32\bolenjx.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\KCOM.SYS','');
 DeleteFile('C:\WINDOWS\system32\drivers\KCOM.SYS');
 DeleteFile('c:\windows\system32\bolenjx.exe');
 DeleteFile('C:\WINDOWS\system32\users32.dat');
 DeleteFile('kus552.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[ivklim]

1. выполнил скрипт
1a после рестарта онлайн трендмикро офисскан находит тоже самое
2 все присоеденил и отослал

[V_Bond]

C:\WINDOWS\system32\users32.dat not-a-virus:AdWare.Win32.Agent.zo
c:\windows\system32\bolenjx.exe Trojan.Dropper
C:\WINDOWS\System32\Drivers\Beep.SYS Generic.Malware.P!.46410F49
отключите все защитные программы

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('kus552.dat','');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Beep.SYS');
 DeleteFile('C:\WINDOWS\system32\kus552.dat');
 DeleteFile('C:\WINDOWS\kus552.dat');
 DeleteFile('c:\windows\system32\bolenjx.exe');
 DeleteFile('C:\WINDOWS\system32\users32.dat');
 DeleteFile('kus552.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ...
virus.zip - прикреплять к теме нельзя - удалите ... это карантин .... его отсылают согласно приложения 3 по ссылке над темой ..

[ivklim]

В скрипте ошибка

Too many actual parameters в позиции 5:15

[V_Bond]

поправил ...

[ivklim]

где новый скрипт ?

Добавлено через 2 минуты

въехал - там же где и старый

[ivklim]

новые логи после скрипта

[ivklim]

HiJackThis заработал

лог с него прикрепил

[Bratez]

В логах чисто.
Посмотрите, что из этого нужно:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Лишнее отключим.

[ivklim]

всем спасибо

лишнее сами отключим - тут все понятно
комп чистый

до скорых встеч