Посмотрите, пожалуйста, логи.

[alexx]

На компьютере жил целый виварий,
частично извел врагов с помощью NAV 2003
остальное добивал AVZ.
Извергов было много, и теперь мучаюсь сомнениями
все ли они ушли и не оставили что-нить на память о себе

[drongo]

ещё много чего есть
Отключить симантек и интернет.

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{F2F2A4CB-DAAD-4D0C-BDFC-E945647202C2}');
 QuarantineFile('c:\autoex.dll','');
 QuarantineFile('iegm486.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
 QuarantineFile('C:\WINDOWS\system32\alt.exe.exe','');
 QuarantineFile('C:\WINDOWS\kavir.exe','');
 QuarantineFile('C:\WINDOWS\aromis.exe','');
 QuarantineFile('C:\WINDOWS\ArgoUpdate.cmd','');
 QuarantineFile('C:\Documents and Settings\user\cftmon.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\cftmon.exe','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\47B9.tmp.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Jqx42.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Jqs31.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Gnu86.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Els07.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Hjq63.sys','');
 QuarantineFile('C:\WINDOWS\system32\WLCtrl32.dll','');
 QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
 DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
 DeleteFile('C:\WINDOWS\system32\WLCtrl32.dll');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\47B9.tmp.exe');
 DeleteFile('C:\Documents and Settings\LocalService\cftmon.exe');
 DeleteFile('C:\Documents and Settings\user\cftmon.exe');
 DeleteFile('c:\autoex.dll');
BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(6 );
 ExecuteRepair(8 );
BC_Activate;
RebootWindows(true);
end.

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=21944

сделайте новые логи.
P.S. Это только начало, скорее всего надо будет ледяной меч качать

[alexx]

иш какие коварные попались))
карантин загрузил
Файл сохранён как 080424_025218_virus_48103c32e2beb.zip
Размер файла 19817
MD5 c3b80bad10a65ae1d5168b9c277d97c8
симантек коварно не желает отключаться.
P.S. меч так меч

[wise-wistful]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 TerminateProcessByName('c:\documents and settings\user\ie_updates3r.exe');
 QuarantineFile('C:\WINDOWS\system32\alt.exe.exe','');
 QuarantineFile('C:\WINDOWS\kavir.exe','');
 QuarantineFile('C:\WINDOWS\aromis.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
 QuarantineFile('c:\documents and settings\user\ie_updates3r.exe','');
 QuarantineFile('C:\WINDOWS\system32\sysmgr.exe','');
 DeleteFile('C:\WINDOWS\system32\sysmgr.exe');
 DeleteFile('c:\documents and settings\user\ie_updates3r.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Cls42.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Els07.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Gnu86.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Hjq63.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Jqs31.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Jqx42.sys');
 DeleteFile('C:\WINDOWS\aromis.exe');
 DeleteFile('WLCtrl32.dll');
 DeleteFile('C:\WINDOWS\kavir.exe');
 DeleteFile('C:\WINDOWS\system32\alt.exe.exe');
BC_ImportDeletedList;
BC_DeleteSvc('lbrtfdc');
BC_DeleteSvc('Jqs31');
BC_DeleteSvc('Hjq63');
BC_DeleteSvc('Gnu86');
BC_DeleteSvc('Els07');
BC_DeleteSvc('Cls42');
BC_DeleteSvc('Schedule');
BC_DeleteSvc('Google Online Services');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=21994

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)

Повторите логи

Добавлено через 2 минуты

В карантин попали: WLCtrl32.dll - Trojan-Downloader.Win32.Mutant.hx, partnership.dll - Trojan-Proxy.Win32.Xorpix.ds по ArgoUpdate.cmd - нужно подождать ответа аналитиков.

[alexx]

Скрипт выдает ошибку
Undeclared identifer: BC_DeleteServcice в позиции 33:17

ArgoUpdate.cmd это творение нашего сис админа призваное обновлять рабочую базу.

[Гриша]

Вы в скрипте ничего не меняли?Там нет такой команды BC_DeleteServcice,скрипт правильный.

[wise-wistful]

alexx я заметил свою ошибку исправил скрипт, но Вы наверное уже успели его скопировать. Попробуйте ещё раз.

[alexx]

скрипт, таки, выполнился.
карантин закачал
остальные рекомендации выполнил.
жду дальнейших указаний

[Гриша]

ie_updates3r.exe-Trojan-Downloader.Win32.Winlagons.bn

Вот этот файлик iegm486.exe пришлите согласно приложению 2 правил.

Это ваш провайдер:

Gabriel Ionita
Dial Telecom S.R.L.
Opera Center II, 2 Dr. Nicolae Staicovici Street
Bucharest 5
Romania

Если нет,пофиксить

O17 - HKLM\System\CCS\Services\Tcpip\..\{1A1ADA38-25A7-4700-B2F1-7B537E0BD9B5}: NameServer = 80.96.202.245
O17 - HKLM\System\CCS\Services\Tcpip\..\{8DAE7F23-943D-43DD-81B5-E3C2654756F7}: NameServer = 80.96.202.245
O17 - HKLM\System\CCS\Services\Tcpip\..\{BC0A6228-0E02-4DEB-93C4-AD46A03BD67B}: NameServer = 80.96.202.245
O17 - HKLM\System\CS1\Services\Tcpip\..\{1A1ADA38-25A7-4700-B2F1-7B537E0BD9B5}: NameServer = 80.96.202.245
O17 - HKLM\System\CS2\Services\Tcpip\..\{1A1ADA38-25A7-4700-B2F1-7B537E0BD9B5}: NameServer = 80.96.202.245

[alexx]

Указанный файл на контакт идти отказался))
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\iegm486.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\iegm486.exe)
Карантин с использованием прямого чтения - ошибка

остальные строчки пофиксил.
еще логи? или уже можно вздохнуть с облегчением?

[Гриша]

Поищите в этих директориях его ручками,найдете запакуйте в архив с паролем "virus" и пришлите по ссылке вверху страницы.

[alexx]

к сожалению данный файл в этих директориях не виден
в AVZ удалось найти только по маске IEGM486* следующий файл
C:\WINDOWS\Prefetch\IEGM486.EXE-08854AE9.pf
могу прислать его если он представляет интерес для науки.

[Гриша]

Не понял?

[alexx]

ну нет такого файла,
видимо он прошел курсы шпионов и очень хорошо прячется))

[kps]

Файл с расширением pf присылать не надо.
З.Ы. pf-файлы создаются Windows и существуют для быстрого доступа к часто запускаемым программам. Нужно прислать файл, на который ссылается pf-файл, но его, видимо, нет.

[alexx]

значит сей компьютер можно считать здоровым и готовым к приему новых экземпляров вредителей?))

[wise-wistful]

Профиксите

O4 - HKLM\..\Run: [advap32] "iegm486.exe"/r

Повторите virusinfo_syscheck.zip и hijackthis.log

[alexx]

сделано

[wise-wistful]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('iegm486.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите лог virusinfo_syscheck.zip

[alexx]

сделано