Появилась новая служба

[niknik]

Три дня назад появилась новая служба PGLLEWB. Прописалась в реестре 13,01.2010г. В этот же день у меня было автоматическое обновление Windows XP PRO. Что это за служба пока выяснить не могу.
Вот мои логи.

[niknik]

Логи-то не положил

[Nikkollo]

А где логи?
Угу, вижу

[niknik]

Вложил

[Nikkollo]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\Installer\{B0255743-165B-4BD5-8DA8-37DFB993B201}\SecurityV2i1_A8EA8A55FDBE4875B598DDC15B298265.exe','');
 BC_QrSvc('PGLLEWB');
 QuarantineFile('PGLLEWB.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Так же прошу выполнить эту процедуру и загрузить там получившийся файл:
http://virusinfo.info/showthread.php?t=3519

[niknik]

Выполнил Ваши скрипты и загрузил по указанному адресу два zip файла.
Жду дальнейших указаний

[Nikkollo]

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Этот файл надо было в этой теме загрузить. Сделайте пож-ста.

[niknik]

У меня есть там папка Qurantine и файл qurantine.zip, но ни файл, не заархивированную папку отправить не получается. Выходит собщение: Ошибка загрузки. Файл не является архивом с карантином AVZ!!

Добавлено через 4 минуты

Наконец-то отправил и папку и файл.

[Nikkollo]

Угу, спасибо, подождем ответа аналитиков.

[niknik]

Выслал

Добавлено через 9 минут

Nikkollo
Эта служба включена в профиль оборудования. Вход в систему: “С системной учетной записью”, а так же стоит галочка “Разрешить взаимодействие с рабочим столом” Я ставлю эту службу на запрещение, но после перезагрузки она снова включена в “Profile 1” Хотя тип запуска этой службы стоит “Отключено” Мне бы узнать, что это за служба? Я бы все вычистил в реестре. А вдруг эта служба Майкрософт?

[Nikkollo]

Служба в карантин не попала.
Второй файл в карантине чистый.
Попробуйте поискать на диске С файл PGLLEWB.sys согласно приложению 2 и 3 правил.
Если найдется - загрузите по красной ссылке вверху темы "Прислать запрошенный карантин".

[niknik]

Добрый день Nikkollo.
Я уже искал его на всех дисках несколько раз, но бесполезно. В реестре тоже не мог обнаружить его пути. Все это странно, сделал свое грязное дело и исчез. Я проверялся вчера и сегодня многими антивирусами скачанными перед этим. Ничего не было найдено. Только что закончил проверку вот на этом сайте: http://onecare.live.com/site/ru-ru/default.htm#
Может мне почистить реестр от его следов?

[Nikkollo]

Добрый день.
Насчет "грязного дела" я не уверен, т.к. мы его не заполучили и не проверили на зловредность.
На всякий случай советую сменить все свои пароли.
Тоесть сейчас такая служба больше не наблюдается?
Сделайте на всякий случай еще раз лог virusinfo_syscheck.zip и приложите в теме.

Насчет чистки реестра - что мы будем чистить, если поиском ничего не находится?
Попробуйте еще раз сделать поиск в реестре по слову PGLLEWB.
Если что-то найдется, пока не удаляйте, просто скажите где он находится в реестре.

[niknik]

В реестре он прописан, но без определения его пути.
Вот я и хочу убрать все записи связанные с ним.

[Nikkollo]

Можете показать записи в реестре, где он прописан?

[niknik]

Лог выполнял сейчас без отключений в реестре библиотек Avira, просто сделал ее не активным. Записей в реестре несколько. Постараюсь выложить позднее

[niknik]

Выложил, но не все

[Nikkollo]

Сделайте лог gmer (не забыв поставить галочку на диск C и нажав Scan):
http://virusinfo.info/showthread.php?t=40118
и приложите его в теме.

[niknik]

Почистил реестр, правда, некоторые ветки чистил с особыми разрешениями. Служба PGLLEWB пропала. Можно ли приводить систему с полной защитой и восстановлением?
Жду Вашего ответа.

Добавлено через 1 минуту

Хорошо, сейчас будет.

[niknik]

Выложил Gmer.log