spool.exe + постоянный запуск неизвестного приложения в терминале.

[vodyanov]

Добрый день, после запуска WinXP, постоянно на рабочем столе промелькивает окно терминала с переодинностью несколько раз в минуту. Удалось увидеть что просходит запуск spool.exe находящегося по адресу "C:\Documents and Settings\LocalService\Local Settings"
ручное удаление из реестра и из папок ни к чему не привело. файл появляется снова.
Антивирус NOD32 3.0.621.0 -- ничего не находит.
В безопасный режим зайти не могу. Черный экран и все.
Очент надеюсь на вашу помощь. Зарание Спасибо.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\csrss.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\spool.exe','');
  BC_DeleteSvc('Ubg52');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Ubg52.sys','');
  BC_DeleteSvc('Taf52');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Taf52.sys','');
  BC_DeleteSvc('Rxd52');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Rxd52.sys','');
  BC_DeleteSvc('Pvb63');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Pvb63.sys','');
  BC_DeleteSvc('Pvb40');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Pvb40.sys','');
  BC_DeleteSvc('pe386');
 QuarantineFile('C:\WINDOWS\system32\lzx32.sys','');
  BC_DeleteSvc('Nty16');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Nty16.sys','');
  BC_DeleteSvc('Cjo17');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Cjo17.sys','');
  BC_DeleteSvc('Cin84');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Cin84.sys','');
  BC_DeleteSvc('Bhn63');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Bhn63.sys','');
  BC_DeleteSvc('Bhm27');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Bhm27.sys','');
  BC_DeleteSvc('Schedule');
 QuarantineFile('C:\WINDOWS\LINKINFO.dll','');
 QuarantineFile('C:\WINDOWS\system32\ftpdll.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ctfmon.exe','');
 DeleteFile('C:\WINDOWS\system32\drivers\ctfmon.exe');
 DeleteFile('C:\WINDOWS\system32\ftpdll.dll');
 DeleteFile('C:\WINDOWS\LINKINFO.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Bhm27.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Bhn63.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Cin84.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Cjo17.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Nty16.sys');
 DeleteFile('C:\WINDOWS\system32\lzx32.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Pvb40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Pvb63.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Rxd52.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Taf52.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ubg52.sys');
 DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\spool.exe');
 DeleteFile('C:\WINDOWS\csrss.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(10);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[vodyanov]

Спасибо большое за помощь!
Сегодня обновился нод и о чудо, он увидел и вылечил spool!
Но скрипт все равно выполнил.
Карантин и логи прилогаю.

P.S. еще раз большое спасибо!

[V_Bond]

virus.zip - карантин из темы убрать ...
в логе ничего зловредного ...

[wise-wistful]

Нам интересно Ваше мнение о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".