Нет доступа к некоторым сайтам и своим локальным дискам

[rango]

Словил заразу.
Началось всё с того, что пропала возможность подключиться к VPN соединению. Очень долго тех. помощь провайдера пыталась помочь, но в конце сослались на вирус и просьбу решить эту проблему самостоятельно. Удалось подключиться к VPN путём замены названия адреса сервера на его IP. Некоторые прочие сайты через браузер так же доступны только через IP (Касперский к примеру, а virusinfo.info и так работает ).
Затем, обнаружил, что из "Моего компьютера" не доступны локальные диски. До лечения запускался какой-то процесс при нажатии ярлыков(фаервол ловил), а после лечения стало просто отказывать в доступе.
Обхожу вводом вручную путей в дресной строке.
Дальше виндовс перестал загружаться с первого раза - зависает перед самым стартом 2 раза из трёх.

На компьютере установлены свежии версии Nod32 и Outpost Security Site. Обновление Windows XP Sp3 некоторое время было отключено(возможно около месяца)

При лечении по Вашей инструкции программа Dr. Web CureIt! зависала насмерть на одном из файлов, использовал AVPTool, который обнаружил и пытался лечить несколько троянов. Лог фаил куда-то пропал, не помню названий

ps. Вложения с файлами анализа не удаётся приатачить. В поиске решения

[rango]

с большим трудом сообщения отправляются, отчёты еле приатачил отдельно, нашёл окошко..

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('E:\autorun.inf','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\autorun.inf','');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('E:\autorun.inf');
 DeleteFile('F:\autorun.inf');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пролечитесь так http://www.kaspersky.ru/support/wks6...?qid=208636215

Пришлите карантин по правилам и повторите логи...

[rango]

Карантин прислал. Пролечился по инструкции из указанного Вами источника. Однако KidoKiller.exe не нашёл угроз... Некоторые симптомы присутсвия в системы зловредного остались: обращение к серверам затруднено, особено в первые минут 15 соединения

Выкладываю обновлённые логи

[PavelA]

Поставьте AvzPMStatus. Перезагрузитесь, сделайте новые логи.
вот это профиксите:

O17 - HKLM\System\CCS\Services\Tcpip\..\{5DA8203E-E79A-4AD1-8FFD-0FAEFDB3D128}: NameServer = 85.255.112.39,85.255.112.40
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.39,85.255.112.40
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.39,85.255.112.40
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.39,85.255.112.40

[rango]

выполнил. Проблема осталась

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('\systemroot\system32\drivers\gaopdxlcjyoyxj.sys','');
 DeleteFile('\systemroot\system32\drivers\gaopdxlcjyoyxj.sys');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[rango]

Выполнил, т.е прислал карантин и выкладываю обновлённые логи.
Проверьте, дошёл ди карантин! Получил ошибку

Ошибка загрузки. Данный файл уже был загружен

Проблема с коннектом сохраняется. Опытным путём выяснил, что ровно 10 минут интернет доступен не полностью(сообщение на форуме не отправить, к примеру)

[Гриша]

Логи повторите...

[rango]

Извините, просто не успел отредактировать!
Выкладываю

[V_Bond]

такой http://www.gmer.net/index.php лог сделайте

[rango]

делал без антивируса и фаервола на всех дисках

Вот что привлекло:

Service         system32\drivers\gaopdxlcjyoyxj.sys (*** hidden *** )                                 [SYSTEM] gaopdxserv.sys

[V_Bond]

выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('\systemroot\system32\drivers\gaopdxlcjyoyxj.sys');
 BC_ImportDeletedList;
 BC_DeleteSvc('gaopdxserv.sy');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите последний лог ...

[rango]

Выполнил скрипт. После перезагрузки первые признаки выздоровления - смог воспользоваться VPN соединением с использованием доменного имени провайдера, а не IP.

Однако логи опять этот сервис выявляют

[rango]

Только что НОД32 ругнулся и изолировал этот объект, после запуска мною Microsoft Update

[Гриша]

Скачать,меню,File,появится аналог проводника,найти:

C:\WINDOWS\system32\drivers\gaopdxlcjyoyxj.sys 
C:\WINDOWS\system32\gaopdxkcdxmnlx.dll

правая кнопка мыши Force Delete на запрос ответьте положительно.

Затем зайдите в раздел "Registry", по "My computer" нажмите правой кнопкой "Find Text" и введите:

gaopdxserv

Все что найдет удалить правой кнопкой "Delete", после каждого найденного ключа для того, чтобы продолжить поиск нажимайте по "My computer" правой кнопкой и выбирайте "Find Next"...

Перезагрузитесь...

Повторите лог gmer...

[rango]

Были файлы с похожими именами.

C:\WINDOWS\system32\drivers\gaopdx*.sys 
C:\WINDOWS\system32\gaopdx*.dll

Удалил их

В поиске по регистру программа рушит Виндовс (
Ошибка 0x0000007F (0x00000008, 0x80042000, 0x00000000, 0x00000000)
.... три раза уже попробовал...

Есть альтернативы - regedit?

И ещё вопрос, в реестре есть раздел с именем gaopdx, внутри которого ещё один disallowed и ключи с именами типа avp.exe. Тоже удалять или искать только gaopdxserv?

gaopdxserv.sys раздел такой есть, его не удалить regedit'ом

[Гриша]

Попробуйте после удаления файлов перезагрузиться, а уже потом чистить реестр...

И ещё вопрос, в реестре есть раздел с именем gaopdx, внутри которого ещё один disallowed и ключи с именами типа avp.exe. Тоже удалять или искать только gaopdxserv?

Да, тоже удалять...

[rango]

нашёл выход:
искал в Regedit, удалял в IceSword. Через Regedit удалялись не все.

Выкладываю последний лог. Думаю что зараза побеждена, как она называется то?

[Гриша]

В логе чисто, называется BackDoor.Tdss.73 (Dr.Web), Касперский пока не знает...