Zbot (который ntos.exe)

[Nek1t]

Вообщем, гуляя в инете, подцепил эту дрянь.

Сначала NOD32 крикнул, что в C:\WINDOWS\system32\ появился nso12k.sys, который является Win32/Agent.NLI
Далее в C:\WINDOWS\system32\ подгрузился cssrss.exe. Вроде как NOD32 оба файла отправил в карантин. Через секунд 10 NOD32 вообще перестал работать, далее перестали запускаться все остальные программы. Загрузился в безопасном режиме, просмотрел все файлы созданные за последний час на диске С, стер ~3 трояна из папки Temp и Documents and Settings. Далее наткнулся на ntos.exe, audio.dll и video.dll. Никак не смог удалить эти файлы - доступ к ним запрещен.

Посмотрел в инете про этот вирь, в реестре сделал так:

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] поменял
"UserInit" = "%System%\userinit.exe, %System%\ntos.exe_"

Загрузился с LiveCD, удалил ntos.exe, audio.dll, video.dll + еще что-то вроде v87bs38d.sys

Загрузился в обычном режиме, программы вновь работают, антивирь тоже.
Но меня мучает параноя, может я чего не стер и мои пароли по-тихоньку уплывают в инет?

п.с. первый лог virusinfo_syscure.zip не прицепил, т.к. не доверяю я что-то автоматическому лечению AVZ =\

[PavelA]

Без третьего лога нам будет трудно вынести вердикт.

Все что удаляет АВЗ можно запросто восстановить из карантина, и после этого м.б. убить еще раз

[Nek1t]

Третий лог прикрепил.
Вы просто посмотрите логи на наличие подзрительных файлов? Все таки хотелось бы получить рекомендации по борьбе конкретно с этим вирусом.
п.с. то, что в логе будет dns_sd.exe, который Trojan-PSW.Win32.VB.se - это сервис от фотошопа и угрозы он не несет.

[V_Bond]

отключите восстановление системы
выполните скрипт

begin
 QuarantineFile('C:\DOCUME~1\НЕКИТ\LOCALS~1\Temp\ALSysIO.sys','');
end.

пришлите карантин согласно приложения 3 правил

[Nek1t]

Ошибка карантина файла, попытка прямого чтения (C:\DOCUME~1\НЕКИТ\LOCALS~1\Temp\ALSysIO.sys)
Карантин с использованием прямого чтения - ошибка

Ошибка...

[V_Bond]

выполните скрипт

begin
 DeleteFile('C:\DOCUME~1\ÍÅÊÈÒ\LOCALS~1\Temp\ALSysIO.sys');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

virusinfo_syscheck.zip повторите

[Nek1t]

Сейчас сделаю.
Вчера успел сохранить несколько образцов вирей/троянов/руткитов перед удалением. Нужно их куда-то залить?

[V_Bond]

можно , согласно приложения 2 правил

[Nek1t]

Загрузил основной файл.
Судя по анализу http://anubis.iseclab.org/result.php...aed9&refresh=1 видно, что это главный файл, который из себя извелкает сам руткит (ntos.exe) и плюс ddos.exe...

Скрипт выполнил.

Пока вроде никаких проявлений малвары не видно, но все же... Жду ответа

[Nek1t]

Вы меня игнорируете?

[V_Bond]

в логе ничего плохого

[Nek1t]

Т.е. все нормально, малвары нет?

[Гриша]

То есть нет

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\test[1].exe - Trojan-Dropper.Win32.Agent.xov (DrWEB: Trojan.PWS.Panda.24)