При запуске Windows XP прекращается работа DrWeb и ...

[Rainman]

Доброе время суток.
Есть проблема, связанная с прекращением работы программ, запускающихся при запуске Windows XP.
Во-первых, это модули DrWeb'а (DrwAgent, Spidernt, SpiderMail)
Во-вторых, ATI Desktop Control Panel и Acrobat Distiller.
В третьих, не запускается даже в безопасном режиме инсталлятор DrWeba.
Некоторое время назад на компьютер попали вирусы с флешки.
CureIt, LiveCD, SalityKiller совместными усилиями поубивали все, что нашли, но программы, описанные выше, по-прежнему вылетают при запуске.
Подозреваю, что какая-то гадость таки осталась.
Были обнаружены Win32.Sector.5, Win32.hllw.Shadow.Based и Win32.Hllw.Autoruner.<какой-то-там>.
Прошу Вашей помощи.
Спасибо.
PS: файлы прилагаются.

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe','');
 DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tok-Cirrhatus');
BC_ImportDeletedList;
ExecuteSysClean;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

[Rainman]

Доброе время суток.
Скрипт выполнен, но карантин оказался пустым и AVZ отказался архивировать его, сообщиая, что не выбрано ни одного файла. Лог выполнения скрипта тоже отсылаю на всякий случай. Файл smss.exe, который должен был оказаться в каратнине, на компьютере не найден (виимо, был убит скриптом).
Новые логи высылаю.
Спасибо.
PS. Проблема с завершением работы тех же самых программ (DrWeb и пр.) сохранилась.

[thyrex]

Пофиксите в Hijack

O2 - BHO: Yandex.Bar - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O2 - BHO: (no name) - {B66A8242-2FE7-D9BB-04AE-0C6D10390D79} - C:\DOCUME~1\Rubenych.PK\APPLIC~1\RULELO~1\2extra.exe (file missing)

Такой лог сделайте http://virusinfo.info/showpost.php?p=457118&postcount=1

[Rainman]

1. Строки в HiJack пофиксены.
2. Указанный лог сделан (прилагается).

Спасибо.

[thyrex]

Удалить в МВАМ

Заражено файлов:
C:\WINDOWS\system32\com.run (Trojan.Banker) -> No action taken.
C:\WINDOWS\system32\dp1.fne (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\eAPI.fne (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\internet.fne (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\krnln.fnr (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\og.dll (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\og.EDT (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\RegEx.fnr (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\shell.fne (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\spec.fne (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\svcp.csv (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\ul.dll (Worm.AutoRun) -> No action taken.
C:\WINDOWS\system32\winsub.xml (Malware.Trace) -> No action taken.

[Rainman]

Выполнено.
Проблема, увы, сохранилась.

[snifer67]

Сделайте новый лог mbam + сделаете лог http://virusinfo.info/showthread.php?t=58309

[Rainman]

Выполнено.
После перезагрузки увидел, что проблема, увы, сохранилась.

[Шапельский Александр]

Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\irftp.exe','');
QuarantineFile('c:\program files\Lithtech.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).

[Rainman]

Сделано.

[Шапельский Александр]

Один файл чистый, другой - ждем результата анализа
Еще есть один подозрительный файл. Выполните скрипт

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\ws2_32.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин

[Rainman]

Сделано.
Еще вчера сделано.

[Rainman]

Может быть, этот лог пригодится?

[Rainman]

Вторые сутки нет ответа.
Format C: ??
Хотелось бы узнать, будет ли продолжена работа по моему вопросу?
Или таки применить гильотину к жесткому диску?

[Шапельский Александр]

Файлы, что Вы прислали чистые
Выполните такой скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(1);
Executerepair(6);
Executerepair(8);
Executerepair(16);
ExecuteWizard('TSW', 2, 2, true)
RebootWindows(false);
end.

Компьютер перезагрузится
Отпишитесь

[Rainman]

Выполнено.
Компьютер перезагрузился.
Проблема сохранилась.

Добавлено через 9 минут

Если нижеследующая информация поможет, то сообщаю:
Вчера в ожидании ответа Вашего сервиса сделал следующее:
1. Проверил систему свежим DrWeb Live CD от 12.11.09. (Вирусов не найдено).
2. Попытался деинсталлировать PC Suit for Nokia 7650, поскольку AVZ несколько раз ругался на то, что возможна маскировка процессов, связанных именно с этим пакетом. Штатный деинсталлятор отказался работать и был выгружен с тем же сообщением, что и программы при запуске Windows (Программа вызвала ошибку и будет закрыта)
3. Использовал RegCleaner для удаления этого пакета и чистки реестра.
4. Уже сегодня выполнил стандартные скрипты №1 и №4 в AVZ. Логи их работы сохранены. (Если потребуются, то предоставлю).
5. После этого выполнил рекомендованный сегодня скрипт. Несмотря на то, что в нем есть строчка о том, что перезагрузка = false, компьютер все же перезагрузился.

[Шапельский Александр]

Давайте новые логи. Но сначала обновите базы АВЗ

[Rainman]

Вышеупомянутый лог (до выполнения рекомендованного скрипта).
Логи, требуемые по правилам делаются.

[Rainman]

Live CD использовал, CureIt от 12.11.09 тоже.
AVPTool не пробовал.
Свежие логи сделаны.