Вирусные файлы khr, autorun.inf, kpzkuz.exe

[tkachenko511]

Здравствуйте.

Проблема в следующем:
На всех дисках появляются скрытые файлы. Названия khr (0 байт), kpzquz.exe (411 Кб) и autorun.inf. Простое удаление, ясное дело, не помогает, причем ехе-файл появляется уже под другим именем, но в любом случае имя состоит из 6 символов.
AVPTool определил вирус как Trojan.Win32.AutoIt. и еще две буквы (по-разному бывает). Два зараженных ехе-файлика нашел в system32, парочка dll в temp, остальное в корне каждого диска. Вроде как полечил, но после перезагрузки опять вылезают. Autorun.inf еще получалось на какое-то время убить, а вот остальные никак .

Траблы вылезают такие:
- открываются некоторые диски в отдельных окнах (несмертельно)
- не включается опция просмотра скрытых файлов (приходится через файловый менеджер)
- после подключения к инету минут через 15 выдается ошибка чтения приложения svchost.exe, после чего панель задач виснет (между приложениями переключиться можно только через Alt+Tab), соответственно, нормальная работа прекращается.

Использую на постоянной основе Symantec Antivirus, браузер Opera.

Помогите, если можете.

С уважением, Николай.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\kpzquz.exe','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('D:\Documents and Settings\papawork\Local Settings\Temporary Internet Files\Content.IE5\J61NQMUN\FBMA_ELL[1].dll','');
 DeleteFile('D:\Documents and Settings\papawork\Local Settings\Temporary Internet Files\Content.IE5\J61NQMUN\FBMA_ELL[1].dll');
 DeleteFile('D:\Documents and Settings\papawork\Local Settings\Temporary Internet Files\Content.IE5\J61NQMUN\FBMA_FRA[1].dll');
 DeleteFile('D:\Documents and Settings\papawork\Local Settings\Temporary Internet Files\Content.IE5\LO43IFX9\FBMA_DEU[1].dll');
 DeleteFile('D:\Documents and Settings\papawork\Local Settings\Temporary Internet Files\Content.IE5\PMWXG6VV\FBMA_CAN[1].dll');
 DeleteFile('D:\Documents and Settings\papawork\Local Settings\Temporary Internet Files\Content.IE5\PMWXG6VV\FBMA_ESN[1].dll');
 DeleteFile('D:\Documents and Settings\papawork\Local Settings\Temporary Internet Files\Content.IE5\PMWXG6VV\FBMA_PTG[1].dll');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\kpzquz.exe');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\kpzquz.exe');
 DeleteFile('E:\autorun.inf');
 DeleteFile('E:\kpzquz.exe');
 DeleteFile('F:\autorun.inf');
 DeleteFile('F:\kpzquz.exe');
 DeleteFile('G:\autorun.inf');
 DeleteFile('G:\kpzquz.exe');
 DeleteFile('I:\autorun.inf');
 DeleteFile('I:\kpzquz.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);    
RebootWindows(true);
end.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Пришлите карантин по правилам и повторите логи...

[tkachenko511]

логи

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;      
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('d:\windows\system32\csrcs.exe','');
 TerminateProcessByName('d:\windows\system32\csrcs.exe');
 DeleteFile('d:\windows\system32\csrcs.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);    
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[tkachenko511]

Логи

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('d:\windows\lsass.exe','');
 TerminateProcessByName('d:\windows\lsass.exe');
 DeleteFile('d:\windows\lsass.exe ');
BC_ImportALL;     
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин, очистите временные папки, кеш браузера, сделайте полную проверку CureIT/AVPTool и повторите логи...

[tkachenko511]

Логи

[tkachenko511]

Файлы с карантина говорит, что уже отправил. Я не уверен. Если не дошли - скажите, пришлю еще раз.

[V_Bond]

пофиксите ...

O4 - HKLM\..\Policies\Explorer\Run: [] 

[tkachenko511]

пофиксите ...

O4 - HKLM\..\Policies\Explorer\Run: [] 

Извините, не понял. Запись такую в реестре нашел, равна 0х00000001. Что с ней делать? Присвоить другое значение или удалить вовсе?

Добавлено через 20 минут

Вроде вчера уже перегружал комп, не было этих левых скрытых файлов, думал вылечился. Сегодня загружаю - опять полезли . Может, просто Symantec Antivirus непригоден для сдерживания этого вируса? Хотя выдает, что нашел чего-то там и все такое . К сожалению, мне нужно уехать, так что диалог прекратится. Если не убъете топик, через недельку продолжим. В любом случае, спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 39
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\kpzquz.exe - Trojan.Win32.Autoit.fi (DrWEB: Win32.HLLW.Autoruner.4362)
  2. d:\\kpzquz.exe - Trojan.Win32.Autoit.fi (DrWEB: Win32.HLLW.Autoruner.4362)
  3. d:\\windows\\lsass.exe - Trojan.Win32.Autoit.ho (DrWEB: Trojan.Siggen.110
  4. d:\\windows\\system32\\csrcs.exe - Trojan.Win32.Autoit.fi (DrWEB: Win32.HLLW.Autoruner.4363)
  5. e:\\kpzquz.exe - Trojan.Win32.Autoit.fi (DrWEB: Win32.HLLW.Autoruner.4362)
  6. f:\\kpzquz.exe - Trojan.Win32.Autoit.fi (DrWEB: Win32.HLLW.Autoruner.4362)
  7. g:\\kpzquz.exe - Trojan.Win32.Autoit.fi (DrWEB: Win32.HLLW.Autoruner.4362)
  8. i:\\kpzquz.exe - Trojan.Win32.Autoit.fi (DrWEB: Win32.HLLW.Autoruner.4362)