вижу что вирус есть, а удалить не могу

[Alexsem]

Доброго времени суток!
Суть проблемы: в корневом каталоге дисков появляется autorun.inf, пустой файл kqh и exe файл с произвольным названием. Установлен NOD32 2.7, делал проверку Cure-It и AVP Tool последних версий и с обновлёнными базами. Exe файл распознаётся NOD`ом как вирус и благополучно удаляется, но через некоторое время все три файла появляются снова. Заметно медленее начал работать компьютер. Так же обнаружил, что почти все сайты Касперского и Др.Веба не открываются в IE. Иногда пропадает интернет. Подключение остаётся, но ничего не работает.
Добавлю: Сканировал также Ad Aware, тоже ничего не находит.

[Rene-gad]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('CCRFG');
 QuarantineFile('C:\WINDOWS\system32\CCRFG.SYS','');
 QuarantineFile('C:\WINDOWS\system32\msxml71.dll','');
 DeleteFile('C:\WINDOWS\system32\msxml71.dll');
 DeleteFile('C:\WINDOWS\system32\CCRFG.SYS');
 DelBHO('{D88E1558-7C2D-407A-953A-C044F5607CEA}');
 DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('CCRFG');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.

[Alexsem]

Скрипт выполнил, карантин пуст. log файлы прилагаю

Карантин пуст, скрипт выполнил, файлы логов прилагаю

syscure не могу приложить, пишет:
virusinfo_syscure.zip:
Вы уже вложили этот файл в теме: вижу что вирус есть, а удалить не могу


Кстати, все 3 файла опять на месте...и khq и autorun и exe файл с произвольным именем файла

[Rene-gad]

Вы скрипт лечения и сбора... по п.1 Диагностики после моего скрипта выполняли?
Удалите старые логи через Мой Кабинет/Вложения и прикрепите последний лог syscure

[Alexsem]

Да, конечно. Скрипт выполнил, потом перезагрузился, сделал новые логи.

3 файла появляются с переодичностью примерно в 1 час.
Смотрел по процессам, был когда то crcss в памяти, его зачистил, ссылки на него удалил...Тоже гад не определялся антивирусами. Вот теперь эту гадость не могу вывести

[Rene-gad]

Да, конечно. Скрипт выполнил, потом перезагрузился, сделал новые логи.

virusinfo_syscure.html Сканирование запущено в 05.10.2008 11:15:42
hijackthis.log - Scan saved at 19:08:44, on 05.10.2008
Это значит, что скрипт по п.1 после моего скрипта не был выполнен до конца, лог не сохранен. Поэтому он был распознан, как уже загруженный и не прикреплялся к сообщению

begin
SetAVZPMStatus(True);
RebootWindows(true);
end.

Повторите логи.
Следите за временем создания!!!

[Alexsem]

Заново выполнил Ваш скрипт, далее выполнел всё по правилам. Логи прилагаю, прилагаю также содержимое карантина.

[Rene-gad]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\\system32\drivers\TDSSserv.sys','');
 DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
 QuarantineFile('C:\WINDOWS\system32\msxml71.dll','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('D:\pzbhiu.exe','');
 QuarantineFile('F:\autorun.inf','');
 DeleteFile('F:\autorun.inf');
 DeleteFile('D:\pzbhiu.exe');
 DeleteFile('D:\autorun.inf');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\WINDOWS\system32\msxml71.dll');
 DeleteFile('C:\WINDOWS\system32\drivers\TDSSserv.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 правил).
- Прикрепите логи к новому сообщению.

[Alexsem]

Необходимые действия выполнил, логи и содержимое карантина прилагаю

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
 DeleteFile('C:\WINDOWS\system32\msxml71.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

[Alexsem]

Скрипт выполнил, проверку сделал. Логи прилагаю.

[Rene-gad]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
 BC_DeleteFile('F:\autorun.inf');
 BC_DeleteFile('C:\WINDOWS\system32\msxml71.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

[Alexsem]

Выполнил скрипт. Выполнил все пункты. Логи прилагаю

[V_Bond]

Ad-Aware - деинсталировать ... выполнить скрипт из поста 10 ,повторите логи ....

[Alexsem]

Ad-Aware деинсталировал, скрипт выполнил. Повторил логи

[V_Bond]

этим удалите временные файлы отметить все галки
выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('aawservice');
 DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
 DeleteFile('C:\WINDOWS\system32\msxml71.dll');
 DeleteFile('C:\Downloads\1\AdAwarePortable\App\AdAware\aawservice.exe');
 DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

virusinfo_syscheck.zip повторите

[Alexsem]

Скрипт выполнил, темпы почистил. Лог прилогаю

[Rene-gad]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
ExecuteSysClean;
 BC_DeleteFile('C:\WINDOWS\system32\msxml71.dll');
BC_Activate;
RebootWindows(true);
end.

повторите логи по п 2 и 3 Диагностики.

[Alexsem]

Скрипт выполнил, логи сделал

[Rene-gad]

Скачать, обновить базы, полный скан, лог в студию.