Вирусы окружили!

[DeLad]

Помогите, вирусы окружили со всех сторон!
Началось всё с того, что касперский отключился и не хотел больше включаться.
Сейчас ситуация такая - диспетчер задач заблокирован, реестр заблокирован, антивирусы никакие не ставятся и не запускаются, да и не только они, но
и остальные программы, также невозможно настроить проводник на видимость скрытых файлов. Даже выйти на веб-страницу касперского почему-то не могу...
Переустанавливал систему 4 раза за 2 дня, каждый раз при этом форматируя диск, но только локальный, поэтому ясно, что они грузятся с других дисков,
но те я не могу форматнуть, боюсь сердце не выдержет :Р
Так вот, после очередной переустановки, как только первый раз запускается система, у неё уже присутствуют все эти характеристики...
Безопасный режим, кстати, тоже не доступен, сразу перезагрузка и всё(
С помощью програмки "Advanced Process Termination" нашел вчера некоторые процессы, удалил их и умудрился установить
и даже запустить касперского! Он нашел 16 троянов и 17 червей в одной папке "System Volume Information" на диске D, остальное (С,F,E) оказалось чистым.
Я на радостях снова переустановил систему, и... опять таже херня...
Поудалял все Систем Волюмы на всех 4-х локальных дисках - безрезультатно.
с помощью той же "Advanced Process Termination" вижу, что постоянно появляются 2 лишних процесса, удаляю их - появляются 2 других и т.д.
Только что пытался включить AVZ, так он отключился и удалился... аж страшно)
К сожалению, прислать получается только один файл

[V_Bond]

этим авз попробуйте сделать логи

[DeLad]

страница никак не открывается (

[Rene-gad]

pingpong.pif - переименованный спец. AVZ http://rapidshare.com/files/116949749/pingpong.pif.html
Сделайте логи в нем, базы обновлять не нужно.

[DeLad]

Да, всё получилось, вот логи.
Правда первые 2 раза при выполнении скрипта лечения/карантина во время проверки одной и той же папки на одном из локальных дисков появлялось сообщение об ошибке и скрипт прерывался. Удалил эту папку - всё прошло гладко)

[Rene-gad]

Для начала нужно пролечиться, как написано тут: http://virusinfo.info/showthread.php?t=15927

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\kfpemn.sys','');
 QuarantineFile('C:\DOCUME~1\ФЕНИКС\LOCALS~1\Temp\wrpyqp.exe','');
 QuarantineFile('c:\docume~1\ФЕНИКС\locals~1\temp\wrpyqp.exe','');
 QuarantineFile('C:\DOCUME~1\ФЕНИКС\LOCALS~1\Temp\winlmfqdw.exe','');
 QuarantineFile('c:\docume~1\ФЕНИКС\locals~1\temp\winlmfqdw.exe','');
 DeleteService('abp470n5');
 DeleteFile('C:\WINDOWS\system32\drivers\kfpemn.sys');
 DeleteFile('c:\docume~1\ФЕНИКС\locals~1\temp\wrpyqp.exe');
 DeleteFile('C:\DOCUME~1\ФЕНИКС\LOCALS~1\Temp\wrpyqp.exe');
 DeleteFile('c:\docume~1\ФЕНИКС\locals~1\temp\winlmfqdw.exe');
 DeleteFile('C:\DOCUME~1\ФЕНИКС\LOCALS~1\Temp\winlmfqdw.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('abp470n5');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 правил).
- Прикрепите логи к новому сообщению.

[DeLad]

Я, конечно, попробую, но опять же тут http://virusinfo.info/showthread.php?t=15927 написано сначала в безопасном режиме нужно проверить, а он у меня не работает

[Rene-gad]

- Выполните скрипт

begin
executerepair(10);
RebootWindows(true);
end.

После перезагрузки попробуйте загрузиться в безопасном режиме.

[DeLad]

Проверил и пролечил всё с помощью Cureit в безопасном режиме, было найдено и вылечено 370 зараженных файлов, но в обычном режиме программка не работает(
Сделал всё как вы сказали, вот новые логи

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('abp470n5');
 QuarantineFile('C:\WINDOWS\system32\drivers\kfpemn.sys','');
 TerminateProcessByName('c:\docume~1\ФЕНИКС\locals~1\temp\hmkq.exe');
 QuarantineFile('c:\docume~1\ФЕНИКС\locals~1\temp\hmkq.exe','');
 TerminateProcessByName('c:\docume~1\ФЕНИКС\locals~1\temp\ddky.exe');
 QuarantineFile('c:\docume~1\ФЕНИКС\locals~1\temp\ddky.exe','');
 DeleteFile('c:\docume~1\ФЕНИКС\locals~1\temp\ddky.exe');
 DeleteFile('c:\docume~1\ФЕНИКС\locals~1\temp\hmkq.exe');
 DeleteFile('C:\DOCUME~1\ФЕНИКС\LOCALS~1\Temp\ddky.exe');
 DeleteFile('C:\DOCUME~1\ФЕНИКС\LOCALS~1\Temp\hmkq.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\kfpemn.sys');
 DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportDeletedList;
BC_DeleteSvc('abp470n5');
ExecuteSysClean;
ExecuteRepair(11);
ExecuteRepair(17);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 2 правил
повторите логи

[DeLad]

Всё сделал, но... не совсем понял что значит "согласно приложения 2 правил" )

[V_Bond]

прочитапть правила не пробовали ?

скачайте C:\WINDOWS\system32\drivers\kfpemn.sys - force delete
выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\drivers\kfpemn.sys');
 DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportDeletedList;
BC_DeleteSvc('abp470n5');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[DeLad]

прочитапть правила не пробовали ?

[/code]

Конечно же читал, просто сглупил))

По поводу файла kfpemn.sys

такого у меня на компе нет вообще... и по ссылке тоже не удается скачать

[Гриша]

Качайте отсюда http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip

[DeLad]

Скачал, а что с этим делать то?

[Гриша]

меню,File,появится аналог проводника,найти:

C:\WINDOWS\system32\drivers\kfpemn.sys

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

Затем скрипт http://virusinfo.info/showpost.php?p...0&postcount=12

[DeLad]

Нет, нету такого файла нигде

[Гриша]

Тогда просто скрипт и повторить логи...

[DeLad]

Вот новые логи

[Rene-gad]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('abp470n5');
 QuarantineFile('C:\WINDOWS\system32\drivers\kfpemn.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\kfpemn.sys');
BC_ImportAll;
BC_DeleteSvc('abp470n5');
SetAVZPMStatus(True);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Скачайте полную версию АВЗ, повторите логи по п.2 и 3 Диагностики.