Не удаляется rootkit wwwpos32.exe + "VIAGRA (c) Best E-store"

[LeVeL]

Здравствуйте. Вот уже какой день сканирую Авастом, Каспером, Cure, но всё без результата.

Некоторые видят зловреды, но удалить или излечить не могут. Например, sdhbj.sys. Путь C:\WINDOWS\system32\drivers. Пробовал через безопасный режим, ничего не помогает.
Плюс идёт рассылка спама "VIAGRA (c) Best E-store"

spyware-doctor нашёл кучу вирусов в кукисах

Помогите, пожалуйста.

[PavelA]

Восстановление системы: включено --- надо отключить
Профиксить:

F2 - REG:system.ini: Shell=explorer.exe rundll32.exe

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\winstart.bat','');
 QuarantineFile('C:\WINDOWS\system32\userini.exe','');
 QuarantineFile('C:\WINDOWS\system32\cmirmdrvs.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\~TMC.tmp','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\sdhbj.sys','');
 DeleteFile('C:\WINDOWS\TEMP\~TMC.tmp');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysgif32');
 DeleteFile('C:\WINDOWS\system32\userini.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
 DeleteFile('C:\WINDOWS\winstart.bat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторить логи.
Прислать карантин по Правилам.

После лечения надо обновить систему до Сервис Пак 3.

[LeVeL]

Спасибо огромное за оперативное реагирование, вроде бы удалилась тварь.sys после обновления.

[PavelA]

Авира + Аваст это много. Надо одного оставить.
Деинсталлировать AVPTool.
Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ccda_v8.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Прислать карантин по Правилам.

[LeVeL]

Здравствуйте.

Деинсталлировать AVPTool.

Я его не нашёл на компе. Что это такое и где оно лежит?

Прислать карантин по Правилам.

Карантин пустой - ни одного файла.

[PavelA]

профиксить:

O4 - HKLM\..\Run: [NTFS_ext_drv] \\?\globalroot\systemroot\system32\ccda_v8.exe
O4 - Startup: setup_9.0.0.722_31.01.2010_15-07.lnk = ?

[LeVeL]

профиксить:

Там таких строк нет. Возможно, это связано с изменением файловой системы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены