Вирус Adware.win32.agent.zo

[weberr]

Здравствуйте!
Ситуация следующая. Примерно несколько месяцев назад лечил машину с помощью вашего форума вирус семейства braviax. Все прошло успешно, затем был установлен лицензионный Касперский 7 версии. Теперь на компьютере появился новый вирус со ссылкой на файл univrs32.dat. Странно, что Касперский пропустил.
Высылаю логи

[V_Bond]

отключите антивирус ..
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\wlqa.exe','');
 QuarantineFile('C:\WINDOWS\system32\univrs32.dat','');
 QuarantineFile('c:\windows\system32\braviax.exe','');
 DeleteFile('c:\windows\system32\braviax.exe');
 DeleteFile('C:\WINDOWS\system32\univrs32.dat');
 DeleteFile('cru629.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите каранти согласно приложения 3 правил ...
сделайте логи по правилам ....

[weberr]

выкладываю новые логи

[pig]

Перечитайте приложение 3 ещё раз - там написано, что карантин отправляется через красную ссылку над темой. В саму тему - нельзя.

[weberr]

карантин вышлю через несколько часов, а то на зараженном компьютере нет выхода в интернет, приходится переподключаться, свои сложности. По логам как, вроде вирусы остались.

[Aleksandra]

По логам как, вроде вирусы остались.

Восстаноление системы отключали?

[weberr]

отключил, она с прошлой борьбы с вирусами осталась отключенной.

[V_Bond]

антивирус отключали .... ?

[weberr]

да

Добавлено через 1 час 17 минут

загрузил карантин
Результат загрузки
Файл сохранён как 080808_064656_virus_489c3230a52bd.zip
Размер файла 68405
MD5 0df36dbebcbad23742a1b00155c478de

[V_Bond]

выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\wlqa.exe');
 DeleteFile('c:\windows\system32\braviax.exe');
 DeleteFile('C:\WINDOWS\system32\univrs32.dat');
 DeleteFile('cru629.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ...

[Rene-gad]

braviax.exe_ - not-virus:Hoax.Win32.Renos.vaqo,
wlqa.exe_ - not-virus:Hoax.Win32.Bravia.gq

Детектирование файлов будет добавлено в следующее обновление.

univrs32.dat - not-a-virus:AdWare.Win32.Agent.zo

[weberr]

Выкладываю новые логи

[V_Bond]

пофиксите ....

O17 - HKLM\System\CCS\Services\Tcpip\..\{82718254-D754-4A74-B0FA-F8B75FDE0AB3}: NameServer = 85.255.113.115,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{CB359127-246C-443C-B6BD-EAD1EA2899D0}: NameServer = 85.255.113.115,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{E84172AD-906E-47DD-BD67-732822525573}: NameServer = 85.255.113.115,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\..\{FC0DF69A-13BB-424F-AAF1-C3CEC12BAAA1}: NameServer = 85.255.113.115,85.255.112.79
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.113.115 85.255.112.79
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.113.115 85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.113.115 85.255.112.79

больше ничего подозрительного ...

[weberr]

Спасибо за проделанную работу
Можно ли обучиться как отыскивать вирусы и написание скриптов?