вирус с матершинным названием

[NeoNell]

Здравствуйте всем. Я тут новенькая. И сразу хочу обратится за помощью. На компе завелась всякая пакость. Помимо уже по-моему стандартного autorun-нера висит вирус с матершинным названием lahuidi.exe. При загрузке компьютера выводит сообщение похожее на сообщение системы безопасности и автозапуском открывает папка Documents and Settings. Что ещё интересного написать. Ах да, в выпадающем меню помимо открыть появилось строчка:
Ouvrir le disque. И это только для локальных и Flash дисков.
Логи прилагаются. Помогите, плиз!

[akok]

c:\5.exe - это что?

Добавлено через 9 минут

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\webcheck.dll','');
 QuarantineFile('E:\lahuidi.exe','');
 QuarantineFile('E:\autorun.inf','');
 QuarantineFile('C:\lahuidi.exe','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\shdocvw.dll','');
 QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
 QuarantineFile('C:\WINDOWS\system32\ctfmon.exe','');
 QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
 QuarantineFile('C:\WINDOWS\system32\HotFixQ0306270.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\uphcleanhlp.sys','');
 QuarantineFile('c:\lahuidi.exe','');
 QuarantineFile('c:\windows\lahuidi.exe','');
 QuarantineFile('c:\5.exe','');
 DeleteFile('c:\5.exe');
 DeleteFile('c:\windows\lahuidi.exe');
 DeleteFile('c:\lahuidi.exe');
 DeleteFile('C:\lahuidi.exe');
 DeleteFile('C:\WINDOWS\lahuidi.exe');
 DeleteFile('C:\WINDOWS\system32\amvo.exe');
 DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
 DeleteFile('C:\autorun.inf');
 DeleteFile('E:\autorun.inf');
 DeleteFile('E:\lahuidi.exe');
 BC_ImportALL;
 ExecuteRepair(6);
 ExecuteRepair(8);
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

Добавлено через 37 секунд

Повторите логи

[NeoNell]

5.exe - это я немного накосячила. Скрипт выполнен. Логи вложены. Карантин вроде как тоже отправила, но где это проверить не могу найти.

[akok]

Подождем ответа вирлаба и продолжим.

[NeoNell]

Кстати, у файла lahuidi.exe интересная иконка- в виде лисичьей морды (может конечно эта информация не важна, но так, на всякий случай, решила добавить). Так же могу прикрепить скриншот всплывающего окошка, о котором говорилось в первом сообщении.

PS: А что-нибудь вообще известно про него? Пыталась найти. Поисковики как один выкидывают ссылки на французские сайты

[akok]

н-да ответа нет...карантин отправил вручную...

Какие проблемы наблюдаются?

[NeoNell]

Мне тут один человечек без спроса реестр подчистил програмкой jv16 PowerTools! Не знаю теперь повторять логи или нет!? И вот после чистки реестра в моём компьютере появилася значок Веб-папки. Вроде пока больше ничего не настораживает.
Мне сейчас больше интересно узнать распространяется ли этот вирь по локалке через расшаренные папки. Если да, то в офисе начнётся эпидемия!

[akok]

Отключим веб папки

begin
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
end.

Подождите может мне вирлаб соизволит ответить, там решим нужны ли логи.

[kps]

BitAccelerator.dll - not-a-virus:AdTool.Win32.BitAccelerator.c
ftp34.dll - Trojan-Downloader.Win32.Small.vem,
ke64boot.dll - Trojan-Spy.Win32.Banker.gmy,
msdom2.dll - Trojan-Spy.Win32.Goldun.ms,
mssrv32.exe_ - Trojan.Win32.Shutdowner.cc,
ntos.exe_ - Trojan-Spy.Win32.Zbot.bud,
spools.exe_ - Trojan-Downloader.Win32.Small.vtn,
unicode.dll - Trojan-Spy.Win32.Webmoner.jp

!!readme.txt, 9F6E7890.exe_, avp.com_, bf3e4.msi_, CloneCD.exe.bak, drm2wmv_e.exe_, drmcreep.exe_, drmdbg.exe_, drmdbg.ini, drmdbg_log.bat_, EiB.exe.bak, g2client.exe.bak, Screensaver.scr_, sidda.exe, sidda.exe_, SignatureCreator.exe.BAK, TVPlayer.exe.BAK

Вредоносный код в файлах не обнаружен.

[PavelA]

ВСЕ Пароли придется менять однозначно.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 37
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\autorun.inf - Worm.Win32.AutoRun.dtc
  2. c:\\lahuidi.exe - Worm.Win32.AutoRun.dtc (DrWEB: Win32.HLLW.Autoruner.2092)
  3. c:\\windows\\lahuidi.exe - Worm.Win32.AutoRun.dtc (DrWEB: Win32.HLLW.Autoruner.2092)
  4. e:\\autorun.inf - Worm.Win32.AutoRun.dtc
  5. e:\\lahuidi.exe - Worm.Win32.AutoRun.dtc (DrWEB: Win32.HLLW.Autoruner.2092)