Помогите!!! не могу избавиться((

[Corey]

Всем доброго времени суток! С праздником Великой победы!

Такая проблема: мучаюсь уже третий день - 1) Стали появляться процессы services.exe, cmd.exe и начинают плодиться как кролики...грузят всю систему(( 2) Как только подключаюсь к интернету
появляется проклятый SVCHOST.EXE а то и даже две штуки...если его не завершить в течение пары минут... отключается локальная сеть и интернет тоже тухнет, но через 10-15 секунд выскакиевает снова(( 3) самая зараза это IEXPLORE.EXE появляется каждые 5-10 секунд на миг и тут же исчезает!!! всё бы ничего, но когда он выскакивает у меня сворачиваются все окна. Невозможно работать!!!

Прошу помощи, помогите пожалуйста!

[Макcим]

Выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('c:\windows\system32\userinit.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winyf05.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winxe73.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winxe16.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winwd40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winvc16.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winvb40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsx27.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winrx50.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winrw84.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winqw83.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winqv73.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winpu05.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winot51.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winms38.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winlr80.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winlr51.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winlr16.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winlq16.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winkq05.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winjp40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winin62.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wingl62.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winej51.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Windj40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Windj27.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winck83.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Wincj73.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winci51.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winbh51.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winbh40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winag84.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winag16.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\vitra.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\toje700.sys','');
 QuarantineFile('C:\WINDOWS\system32\wbem\wmiapsrv.exe','');
 QuarantineFile('C:\WINDOWS\System32\vssvc.exe','');
 QuarantineFile('C:\WINDOWS\System32\ups.exe','');
 QuarantineFile('C:\WINDOWS\system32\smlogsvc.exe','');
 QuarantineFile('C:\WINDOWS\System32\SCardSvr.exe','');
 QuarantineFile('C:\WINDOWS\system32\rsvp.exe','');
 QuarantineFile('C:\WINDOWS\system32\locator.exe','');
 QuarantineFile('C:\WINDOWS\system32\sessmgr.exe','');
 QuarantineFile('C:\WINDOWS\system32\nvsvc32.exe','');
 QuarantineFile('C:\WINDOWS\system32\msiexec.exe','');
 QuarantineFile('C:\WINDOWS\system32\msdtc.exe','');
 QuarantineFile('C:\WINDOWS\system32\mnmsrvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\imapi.exe','');
 QuarantineFile('C:\WINDOWS\System32\dmadmin.exe','');
 QuarantineFile('C:\WINDOWS\system32\dllhost.exe','');
 QuarantineFile('C:\WINDOWS\system32\cisvc.exe','');
 QuarantineFile('C:\WINDOWS\System32\alg.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\rmh3e98.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\qlge55e.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\oje729f.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\nid3db2.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\lgbc9c0.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\jet7cfe.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\jeo7d19.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\ids1f85.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\hcr39d8.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\gbqa9ee.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\fap205e.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\bqle9bd.sys','');
 QuarantineFile('C:\WINDOWS\system32\vksaver.dll','');
 QuarantineFile('c:\windows\services.exe','');
 QuarantineFile('c:\windows\system32\spool\drivers\w32x86\3\cappswk.exe','');
 QuarantineFile('c:\windows\explorer.exe','');
 QuarantineFile('c:\windows\system32\ctfmon.exe','');
 RebootWindows(false);
end.

Загрузите карантин согласно приложению №3 правил.

Полечитесь как написано здесь http://virusinfo.info/showthread.php?t=15927 и сделайте свежие логи.

[Corey]

Скрипт выполнил...никаких изменений я не заметил...всё по прежнему паршиво(( Лечился доктором Вэбом...бесполезно, он ничего не видит!
Карантин загрузил, и вот свежие логи!

[Макcим]

Лечитесь вот этим http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/ Кстати им же сделайте потом лог "Ручное лечение".

[Corey]

Скачал, просканировал=) вроде бы вся зараза отвяла огромнейшое спасибо!!!

P.S. на всякий случай выкладываю лог

[Макcим]

Рано радуетесь, лечиться ещё долго...

1. Выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\vksaver.dll');
 DeleteFile('C:\WINDOWS\services.exe');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 ExecuteWizard('TSW', 1, 1, true);
 ExecuteWizard('BT', 1, 1, true);
 RebootWindows(false);
end.

2. AVZ => Сервис => Диспетчер служб и драйверов. Там выберете "сервисы" и показывать не запущенные, дословно не помню как это называется. Смысл в том чтобы удалить все службы (только службы, драйвера не трогать!) у которых в имени файла прописано srv.exe (не удалите что-нибудь нужное по ошибке!). Потом перезагрузитесь и сделаете повторно логи AVZ или AVPTool, на Ваше усмотрение.

[Corey]

Всё выполнил строго по инструкции. Прикладываю свежие логи avz

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\wtukd32.exe');
 DeleteFile('C:\WINDOWS\system32\tpszxyd.sys');
 QuarantineFile('C:\WINDOWS\System32\drivers\vitra.sys','');
 DeleteService('Winag16');
 DeleteService('Winag84');
 DeleteService('Winbh40');
 DeleteService('Winbh51');
 DeleteService('Winci51');
 DeleteService('Wincj73');
 DeleteService('Winck83');
 DeleteService('Windj27');
 DeleteService('Windj40');
 DeleteService('Winej51');
 DeleteService('Wingl62');
 DeleteService('Winin62');
 DeleteService('Winjp40');
 DeleteService('Winlq16');
 DeleteService('Winlr16');
 DeleteService('Winlr51');
 DeleteService('Winlr80');
 DeleteService('Winms38');
 DeleteService('Winot51');
 DeleteService('Winpu05');
 DeleteService('Winqv73');
 DeleteService('Winqw83');
 DeleteService('Winrw84');
 DeleteService('Winrx50');
 DeleteService('Winsx27');
 DeleteService('Winvb40');
 DeleteService('Winvc16');
 DeleteService('Winwd40');
 DeleteService('Winxd40');
 DeleteService('Winxe16');
 DeleteService('Winxe73');
 DeleteService('Winyf05');
 QuarantineFile('c:\windows\system32\userinit.exe','');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winyf05.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxe73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxe16.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winxd40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winwd40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winvc16.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winvb40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsx27.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winrx50.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winrw84.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winqw83.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winqv73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winot51.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winms38.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlr80.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlr51.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlr16.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlq16.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winjp40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winin62.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wingl62.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winej51.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windj40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windj27.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winck83.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wincj73.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winci51.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winbh51.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winbh40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winag84.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winag16.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[Corey]

Скрипт выполнен. Карантин загружен. прикладываю свежи логи...

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_3456_1.tmp','');
 QuarantineFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_4472_1.tmp','');
 DelBHO('{D4C56A33-3488-495B-8033-9BF834E276D8}');
 QuarantineFile('C:\WINDOWS\system32\brastk.exe','');
 DeleteService('Winpu05');
 DeleteService('Winkq05');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winkq05.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winpu05.sys');
 DeleteFile('C:\WINDOWS\system32\brastk.exe');
 DeleteFile('C:\PROGRA~1\Webalta\WEBALT~1.DLL');
 DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winpu05');
BC_DeleteSvc('Winkq05');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[Corey]

Всё выполнено! карантин загрузил...прикладываю свежие логи

[AndreyKa]

Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 ClearQuarantine;
 DeleteService('xmlprovupnphostdmserverLmHostsNtmsSvcThemes');
 DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_1208_1.tmp');
 DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_1872_1.tmp');
 DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_1172_1.tmp');
 DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_5684_1.tmp');
 DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_1524_1.tmp');
 DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_308_1.tmp');
 DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_3456_1.tmp');
 DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_4472_1.tmp');
end.

Пофиксте в HijackThis следующие строки:

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,c:\windo ws\system32\wscript.exe
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\

После перезагрузки сделайте новый лог HijackThis и приложите сюда.

Проблема решена?

[Corey]

Пофиксил в HijackThis...прикладываю свежий лог

[Гриша]

Чисто...

[Corey]

Огромное спасибо! всем хелперам) которые уделили мне время!!! всем удачной работы

[Макcим]

Проведите пожалуйста процедуру, описанную в первом сообщении http://virusinfo.info/showthread.php?t=3519

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 52
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\-+-+\locals~1\temp\avz_1172_1.tmp - Packed.Win32.Koblu.b ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )
  2. c:\documents and settings\-+-+\locals~1\temp\avz_1208_1.tmp - Packed.Win32.Koblu.b ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )
  3. c:\documents and settings\-+-+\locals~1\temp\avz_1524_1.tmp - Packed.Win32.Koblu.b ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )
  4. c:\documents and settings\-+-+\locals~1\temp\avz_1872_1.tmp - Packed.Win32.Koblu.b ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )
  5. c:\documents and settings\-+-+\locals~1\temp\avz_308_1.tmp - Packed.Win32.Koblu.b ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )
  6. c:\documents and settings\-+-+\locals~1\temp\avz_3456_1.tmp - Packed.Win32.Koblu.b ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )
  7. c:\documents and settings\-+-+\locals~1\temp\avz_4472_1.tmp - Packed.Win32.Koblu.b ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )
  8. c:\documents and settings\-+-+\locals~1\temp\avz_5684_1.tmp - Packed.Win32.Koblu.b ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )
  9. c:\program files\thunmail\testabd.exe - Trojan-GameThief.Win32.WOW.mih
  10. c:\windows\services.exe - Trojan-Downloader.Win32.Small.jsf ( BitDefender: Trojan.Agent.AMPS )
  11. c:\windows\system32\drivers\bqle9bd.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  12. c:\windows\system32\drivers\fap205e.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  13. c:\windows\system32\drivers\gbqa9ee.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  14. c:\windows\system32\drivers\hcr39d8.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  15. c:\windows\system32\drivers\ids1f85.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  16. c:\windows\system32\drivers\jeo7d19.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  17. c:\windows\system32\drivers\jet7cfe.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  18. c:\windows\system32\drivers\lgbc9c0.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  19. c:\windows\system32\drivers\nid3db2.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  20. c:\windows\system32\drivers\oje729f.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  21. c:\windows\system32\drivers\qlge55e.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  22. c:\windows\system32\drivers\rmh3e98.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  23. c:\windows\system32\drivers\toje700.sys - Backdoor.Win32.IEbooot.brr ( BitDefender: Rootkit.Otlard.A )
  24. c:\windows\system32\tpszxyd.sys - Packed.Win32.Koblu.b ( BitDefender: Trojan.Delf.PSQ )
  25. c:\windows\system32\wtukd32.exe - Packed.Win32.Koblu.b