Поймал вирус usb_mgr.exe, Dr Web - CureIt его находит, удаляет, но затем он восстанавливается.

[Mr_D]

Не так давно заметил, что браузер странно работает (страницы перестают грузится, как будто ктото нажимает на стоп через мгновение после того, как я нажал перейти). При этом торрент-программа работает нормально, значит с соединением всё в порядке.
Открыл дсипетчер задач - увидел подозрительный процесс usb_mgr.exe, после выключения которого работа нормализовалась.
Я сделал вывод что это вирус и проверил компьютер на вирусы в безопасном режиме Dr Web - CureIt, который определил этот файл (usb_mgr.exe, лежащий в C:\Windows\) а также файл ms07.exe (в папке С:\Wndows\system32) как вирусные, с одинаковым названием вируса (Trojan.MulDrop.32672 впрочем Касперский его назвал както по другому Trojan.Agent. или нечто в этом роде)
Эти файлы были удалены, однако впоследствии восстановились и так продолжалось после каждого их удаления.
Также файл usb_mgr.exe оказывается постоянно прописанным в автозапуск в реестре (HKEY_LM)

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
ClearQuarantine;
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 DelCLSID('3B818B63-1E0F-602F-0308-050407080101');
 QuarantineFile('C:\WINDOWS\system32\windows','');
 DelBHO('{B863453A-26C3-4e1f-A54D-A2CD196348E9}');
 DelBHO('{ED4BD629-C1B6-4399-8A34-02CCAA921DC9}');
 DelBHO('{8126A4A5-BFD3-46FE-BBDF-BFB5CF78E489}');
 DelBHO('{4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C}');
 DelBHO('{3CA2F312-6F6E-4B53-A66E-4E65E497C8C0}');
 QuarantineFile('C:\WINDOWS\usb_mgr.exe','');
 DeleteFile('C:\WINDOWS\usb_mgr.exe');
 DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
 DeleteFile('C:\WINDOWS\system32\windows');
 DeleteFile('usb_mgr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=50395

3. Повторите логи.

[Mr_D]

Скрипт выполнил, Карантин отправил, вот повтор логов.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
ClearQuarantine;
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\mrmngr.exe','');
 TerminateProcessByName('c:\windows\mrmngr.exe');
 DeleteFile('c:\windows\mrmngr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=50395

3. Повторите лог virusinfo_syscheck.

[Mr_D]

Сделано...
Кстати, теперь в автозагрузке помимо usb_mgr.exe ещё и mrmngr.exe
В процессах так же стал появляться подозрительный "ms08nx.exe" (проверил CureIT - определил его так же как и файлы из первых постов - Trojan.MulDrop.32672)

[Aleksandra]

Очистите временные файлы, кеш браузера, сделайте полную проверку компьютера с помощью AVPTool и повторите логи...

[Mr_D]

Временные файлы почистил, кэш почистил, AVPtool посканил (нашёл и удалил вышеописанные файлы, но наверн это опять не на долго)
Вот логи )

[Bratez]

В логах ничего плохого. Ставьте SP3 и последующие обновления, иначе действительно не надолго.

[Mr_D]

Ну даже если в логах ничего и нет, но всеравно процессы mrmngr.exe и usb_mgr.exe (как и соответсвующие им ms08nx.exe и ms07.exe) восстанавливаются в системных папках и появляются в списке процессов - то один то другой и пока их не завершить браузеры работают так, как я описал в первом посте.
Все эти файлы определяются как "Trojan.Win32.Agent.cqun" средствами Касперского и как "Trojan.MulDrop.32672" средствами Доктора Веба.

Хм... СП3 действительно надо бы поставить...

[pig]

Их с большой вероятностью впихивают снаружи через дырки в системе. Ставьте обновления.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\mrmngr.exe - Backdoor.Win32.IRCBot.lgq ( DrWEB: Trojan.MulDrop.32672 )
  2. c:\windows\usb_mgr.exe - Trojan.Win32.Agent.cqun