Win2000Server Rus поймал заразу

[CracK_BnG]

При загрузке компа в обычном режиме появляется "куча" сообщений "Приложение или библиотека C\WINNT\SYSTEM32\ghjyer.dll3 не является образом программы для Windows NT. Проверьте назначение установочного диска" и падает в синий экран. В безопасом режиме с теми же сообщениями загружается и работает.

[AndreyKa]

Пофиксте в HijackThis следующие строки:

O2 - BHO: (no name) - {18093456-9012-4568-9076-908765467181} - (no file)
O2 - BHO: (no name) - {22596546-2036-9451-6058-658402589722} - (no file)
O2 - BHO: (no name) - {25FD6584-698F-BCD2-602C-698745210352} - (no file)
O2 - BHO: (no name) - {32023698-6984-8541-9654-698745012523} - (no file)
O2 - BHO: (no name) - {37AC9076-C898-B098-D098-A18319080973} - (no file)
O2 - BHO: (no name) - {50940F85-F015-14F1-A05F-F69858AC6D05} - (no file)
O2 - BHO: (no name) - {5A069845-2036-6084-9054-6087502480A5} - (no file)
O2 - BHO: (no name) - {60A345CD-ABCD-EFAB-CDEF-ABCD01020306} - (no file)
O2 - BHO: arjrdler.dll - {6C69034A-F45F-D34D-A33A-C33C4D324FC6} - C:\WINNT\system32\arjrdler.dll
O2 - BHO: (no name) - {6FD45A54-9875-698F-E56E-65102358FDF6} - (no file)
O2 - BHO: (no name) - {7C8D1401-A58D-A81C-CD24-A5915C4517C7} - (no file)
O2 - BHO: (no name) - {83BA45AF-FAAA-CDDD-BEEE-BCDE1234AB38} - (no file)
O2 - BHO: (no name) - {91954FAC-1023-154F-895A-1458258AD819} - (no file)
O2 - BHO: (no name) - {A490415F-65F8-B5C5-D8BA-9405FB12054A} - (no file)
O20 - AppInit_DLLs: jkjkll.dll,ghjyer.dll,ilkyu.dll,yukevg.dll,ghkrg.d ll,.......

Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 QuarantineFile('C:\WINNT\system32\ghjyer.dll','');
 SetServiceStart('DLANX', 4);
 QuarantineFile('C:\WINNT\system32\arjrdler.dll','');
 QuarantineFile('C:\WINNT\system32\jkjkll.dll','');
 DeleteFile('C:\WINNT\system32\jkjkll.dll');
 DeleteFile('C:\WINNT\system32\arjrdler.dll');
 DeleteFile('C:\WINNT\system32\ghjyer.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.
Пришлите то, что попадет в карантин так, как написано в приложении 3 Правил, используя ссылку:
http://virusinfo.info/upload_virus.php?tid=24969

Загрузитесь в нормальном режиме.
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к вашей теме.

Добавлено через 1 минуту

Прочтите вот это:
http://z-oleg.com/secur/avz_doc/index.html?faq_14.htm
на всякий случай.

[CracK_BnG]

Пофиксил и запустил скрипт. Карантин отправил. Вот новые логи.

[AndreyKa]

Приехали размер AVZ изменился, значит с вероятностью 99% на сервере файловый вирус.
Пришлите файл c:\avz4\avz.exe в zip архиве с паролем virus через ссылку
http://virusinfo.info/upload_virus.php?tid=24969

Добавлено через 5 минут

Эти строки еще раз пофиксите:

O2 - BHO: arjrdler.dll - {6C69034A-F45F-D34D-A33A-C33C4D324FC6} - C:\WINNT\system32\arjrdler.dll
O20 - AppInit_DLLs: jkjkll.dll,ghjyer.dll,ilkyu.dll,yukevg.dll,ghkrg.d ll,.......

[CracK_BnG]

Отправил архив с avz. Пофиксил указанные строки снова.

[AndreyKa]

Вы прислали файл avz.exe размером 733696 байт. А в крайнем логе у него размер 752.00 кб
Что то тут не так.

[CracK_BnG]

Прислать еще раз лог?

[AndreyKa]

Лучше пришлите AVZ.EXE размером 752 кб (если найдете).

Добавлено через 33 секунды

Проблем с компьютером больше нет?

[CracK_BnG]

Пока drWeb_CureIt сканит, куча Alman.b. Но вроде лечатся, а там посмотрим.
Спасибо большое за помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\администратор.pdc-main.001\\doctorweb\\quarantine\\tdggrz.dll - Trojan-PSW.Win32.OnLineGames.apdt (DrWEB: Trojan.PWS.Gamania.11226)
  2. c:\\documents and settings\\администратор.pdc-main.001\\doctorweb\\quarantine\\zdesfx.dll - Trojan-GameThief.Win32.OnLineGames.ucon (DrWEB: Trojan.PWS.Gamania.1122
  3. c:\\winnt\\system32\\arjrdler.dll - Trojan-GameThief.Win32.OnLineGames.asdl (DrWEB: Trojan.PWS.Wsgame.6334)
  4. c:\\winnt\\system32\\jkjkll.dll - Trojan-PSW.Win32.OnLineGames.aoze (DrWEB: Trojan.PWS.Wsgame.5963)