Backdoor.Win32.Poison.aovi и Worm.Win32.AInfBot.o

[GhOsT_MZ]

Доброго времени суток!
Подцепил 2 вируса: Backdoor.Win32.Poison.aovi и Worm.Win32.AInfBot.o.
Первый располагается по адресу: %SYSTEMDRIVE%\b4v9m7s9p9i3.exe;
А второй: System32\Drivers\explorer.exe и System32\Drivers\LBTWiz.exe.

Что касается первого вируса, то после удаления он появляется непонятно откуда, но при этом запущенным не был замечен.

Второй при запуске закрывает менеджер задач, будь то стандартный tskmngr, или ProcessExplorer. Однако, при запущенном вирусе менеджер задач запускается и нормально работает.
Также, товарищ Worm.Win32.AInfBot.o постоянно скачивает в директорию System32 файлы, содержащие тело такого же вируса (как показал AVPTool), но при это активность этих файлов не была замечена.

Также, была замечена сетевая активность explorer.exe (который от M$, а не вирус), которая заключалась в отправке каких-то данных по 25 порту, а также по 80 порту.

Произведенные меры:
Сканировал диски AVPTool и CureIT!. Первый находил и удалял вредоносные файлы, но после перезагрузки они появлялись вновь. Что касается CureIt!, то он и вовсе не находил их.

Пожалуйста, помогите...

[Bratez]

Отключив интернет и антивирус, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\LBTWiz.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\htqIh.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\htqIh.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\LBTWiz.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=53930).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[GhOsT_MZ]

Карантин прислал.

[Bratez]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\E0460141.exe','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил, если будет не пуст.

[GhOsT_MZ]

У меня нет такого файла... После выполнения скрипта карантин пуст...
Но вирусы снова появились...

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
 QuarantineFile('C:\WINDOWS\avdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0603778889-5907231832-424456546-7236\csvcs.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0603778889-5907231832-424456546-7236\csvcs.exe');
 DeleteFile('C:\WINDOWS\avdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('E0460141');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=53930).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[GhOsT_MZ]

Некоторых файлов в карантине нету, так как пришлось удалить руками, так как из-за них не удавалось зайти сюда (они меняли содержимое файла hosts).

[Bratez]

В логах чисто.
Ставьте SP3 + последующие обновления, чем скорее - тем лучше.
Надеюсь, базы антивируса у вас обновляются?

[GhOsT_MZ]

Базы обновляются. СП3 поставлю. Но тему пожалуйста не закрывайте, так как оно может еще появиться (на днях пол ночи лечил, а после ребута появляется вновь, причем может сразу появиться, а может и через несколько часов).

[GhOsT_MZ]

Вот, появился вновь.... До его появления была запущена Malwarebytes' Anti-Malware, которая проверяла систему и uTorrent. При запуске, вирус выключил Malwarebytes' Anti-Malware.

[Bratez]

Так и будут лезть до бесконечности, пока дыры не закроете.
Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\LBTWiz.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

и срочно обновляйте систему!

[GhOsT_MZ]

Поставил SP3, обновил систему (хотя, критических обновлений почему-то не было, что весьма странно, учитывая дату выхода SP3), но не смотря на это, эти вирусы продолжают попытки прорваться. Периодически касперский выдает сообщение о попытке скачать файл hххp://94.76.194.116/h.exe.
Процесс, который пытается скачать файл - это svchost.exe (оригинальный, ProcessExplorer пишет, что проверка на подлинность прошла).
Ниже приведу скрины окна ProcessExplorer для этого процесса, список служб этого процесса, а также список потоков (или как правильно Thread именуется). + к этому, список автозагрузки из Autoruns. Может что из этого и поможет...
Также, в списке активных процессов не найдено ничего подозрительного...

[GhOsT_MZ]

Up!
Подскажите пожалуйста что делать...

[Bratez]

обновил систему (хотя, критических обновлений почему-то не было, что весьма странно, учитывая дату выхода SP3)

Рекомендую это:
http://poleznosti.ru/soft/file_catal...20080528205228.

[GhOsT_MZ]

Вроде после этих обновлений все нормально стало. Спасибо большое за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 34
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\recycler\s-1-5-21-0243336031-4052116379-881863308-0851\vse432.exe - Trojan.Win32.Buzus.bxsy ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.2378664, AVAST4: Win32:Trojan-gen {Other} )
  2. c:\recycler\s-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe - Trojan.Win32.Buzus.bxsx ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.2386405, NOD32: Win32/Agent.HXW trojan, AVAST4: Win32:Trojan-gen {Other} )
  3. c:\recycler\s-1-5-21-0603778889-5907231832-424456546-7236\csvcs.exe - P2P-Worm.Win32.Palevo.ann ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Worm.P2P.Palevo.B, AVAST4: Win32:Rimecud-B [Wrm] )
  4. c:\windows\avdrive32.exe - Net-Worm.Win32.Kolab.dvg ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Worm.Generic.83261, AVAST4: Win32:Trojan-gen {Other} )
  5. c:\windows\system32\drivers\lbtwiz.exe - Worm.Win32.AInfBot.o ( DrWEB: BackDoor.IRC.Bot.132, NOD32: Win32/AutoRun.IRCBot.CD worm, AVAST4: Win32:Trojan-gen {Other} )
  6. c:\windows\system32\umdmgr.exe - Trojan-Downloader.Win32.Pher.uk ( DrWEB: Trojan.Packed.162, BitDefender: Trojan.Downloader.JJRI, AVAST4: Win32:Trojan-gen {Other} )