восстановить отгрызенное

[Natalie]

Здравствуйте все!

Сходила в инет, подцепила пакостника. Касперский каждую секунду выдавал сообщение о несанкционированном доступе, блокировании процесса и тп. В результате сейчас не запускается файловый антивирус и проактивная защита в Касперском и некоторые .exe файлы. Касперский при глубокой проверке (как указано в правилах форума) нашел троянца и несколько hidden.object. CureIt нашел троянца еще в одном файле. Скачала AVZ, но папка base не распаковывается -"устройство не готово" (причем на разных машинах пробовала - может, с архивом чего неладное?), поэтому этим софтом проверить компьютер не удалось. HiJackThis отработал. Высылаю его отчет. И что теперь делать? Помогите, пожалуйста.

[V_Bond]

скачать авз заново , обновить и сделать логи ...

[Natalie]

скачать авз заново , обновить и сделать логи ...

Скачала и обновила с другой машины. Пытаюсь скопировать AVZ на свою, а мне говорят:"Не удается скопировать <file_name.avz>. Устройство не готово."

[kps]

hockey.pif
Скачайте
http://www.megaupload.com/?d=AUGYD37C
Это переименованный IceSword
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы и если они есть - удалите с помощью force delete (нажмите по ним правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да"):
C:\WINDOWS\SYSTEM32\mp3res.dll
C:\WINDOWS\system32\xprot.sys
C:\WINDOWS\system32\msime82.exe

Пофиксите в hijackthis

O4 - HKLM\..\Run: [IMJPMIG8.2] msime82.exe
O20 - Winlogon Notify: mp3res - C:\WINDOWS\SYSTEM32\mp3res.dll

Перезагрузите компьютер.
После этого удалите AVZ, скачайте ее заново и попробуйте запустить и сделать логи.

[Natalie]

Заработала!
Логи готовы.

[kps]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\SYSTEM32\mp3res.dll','');
QuarantineFile('mp3res.dll','');
QuarantineFile('C:\WINDOWS\system32\SFIDLOCK.DLL','');
QuarantineFile('C:\WINDOWS\system32\xprot.sys','');
QuarantineFile('C:\WINDOWS\system32\IASDLL.DLL','');
DeleteFile('C:\WINDOWS\system32\xprot.sys');
DeleteFile('mp3res.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\mp3res.dll');
DelWinlogonNotifyByFileName('mp3res.dll');
RegKeyDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\mp3res');
BC_ImportALL;
ExecuteSysClean;
BC_QrSvc('xprot');
BC_DeleteSvc('xprot');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=20336 ).

Сделайте новые логи.

[Natalie]

При выполнении скрипта лечения AVZ аварийно закрылся. При повторном запуске выдал "Invalid pointer operation", но доработал до конца. Если эта информация полезна. Карантин выслан.

[Bratez]

Ничего подозрительного больше не видно.
На всякий случай пришлите по правилам файл:
C:\WINDOWS\system32\Drivers\iqvw32.sys

Рекомендуется отключить все что вам не нужно из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[Natalie]

Выслала.
А то, что AVZ сообщил о массовом перехвате функций файлом ..\windows\system32\drivers\klif.sys - это нормально?

[V_Bond]

присланный файл чистый ...
klif.sys -от касперского - это нормально ...

[Natalie]

Всем огромное спасибо!

[kps]

Для информации скажите пожалуйста, когда Вы искали (и удаляли) с помощью IceSword файлы
C:\WINDOWS\SYSTEM32\mp3res.dll
C:\WINDOWS\system32\xprot.sys
C:\WINDOWS\system32\msime82.exe

Все ли из них Вы нашли?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 14
• В ходе лечения вредоносные программы в карантинах не обнаружены