При подключении к интернету резко возрастает исходящий трафик

[Альбин]

Исходящий трафик при подключении возрастает в несколько раз (при том что я ничего делаю), множаться одноименные процессы в диспетчере. При завершении их-трафик падает. Но через какое-то время появляются новые процессы и тоже множаться. На компе установлен НОД32. Сканер DrWEB запустила в безопасном режиме -нашел 2 вируса и завис на 40%. До этого загрузила LiveCD использовала AVZ,DrWEB,NOD32. Удалила вирусы. Но через 2-3 загрузки все вернулось.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\temp\wpv111273735610.exe');
 TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\wpm12.tmp');
 TerminateProcessByName('c:\windows\explorer.exe:userini.exe');
 TerminateProcessByName('c:\documents and settings\Администратор\application data\microsoft\tilylejy.exe');
 TerminateProcessByName('c:\documents and settings\Администратор\application data\microsoft\bouretoo.exe');
 TerminateProcessByName('c:\docume~1\9335~1\locals~1\temp\30369.exe');
 QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\system32\userini.exe','');
 QuarantineFile('C:\WINDOWS\system32\sysservice.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\scddf.exe,explorer.exe,C:\Documents and Settings\Администратор\csrss.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\scddf.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\fitoomooh.exe','');
 QuarantineFile('c:\windows\temp\wpv111273735610.exe','');
 QuarantineFile('c:\docume~1\9335~1\locals~1\temp\wpm12.tmp','');
 QuarantineFile('c:\windows\explorer.exe:userini.exe','');
 QuarantineFile('c:\documents and settings\Администратор\application data\microsoft\tilylejy.exe','');
 QuarantineFile('c:\documents and settings\Администратор\application data\microsoft\bouretoo.exe','');
 QuarantineFile('c:\docume~1\9335~1\locals~1\temp\30369.exe','');
 DeleteFile('c:\docume~1\9335~1\locals~1\temp\30369.exe');
 DeleteFile('c:\documents and settings\Администратор\application data\microsoft\bouretoo.exe');
 DeleteFile('c:\documents and settings\Администратор\application data\microsoft\tilylejy.exe');
 DeleteFile('c:\windows\explorer.exe:userini.exe');
 DeleteFile('c:\docume~1\9335~1\locals~1\temp\wpm12.tmp');
 DeleteFile('c:\windows\temp\wpv111273735610.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\fitoomooh.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\scddf.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\scddf.exe,explorer.exe,C:\Documents and Settings\Администратор\csrss.exe');
 DeleteFile('C:\WINDOWS\system32\sysservice.exe');
 DeleteFile('C:\WINDOWS\system32\userini.exe');
 DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','coohezup');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zefic');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','pefus');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','coohezup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Startup Manager');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
DeleteService('nnyoamnq6vuxoq3e');
 DeleteService('afeciieu');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи + лог http://virusinfo.info/showpost.php?p=493610&postcount=1

[Альбин]

Карантин отправлен.скрипт выполнен.

[thyrex]

c:\windows\system32\grpconv.exe восстановите с дистрибутива http://virusinfo.info/showthread.php?t=51654

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\lawogydus.exe

Driver::

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

[Альбин]

файл заменила. архив прикрепила.боюсь сглазить вроде бы порядок

[thyrex]

Порядок

Запакуйте, пожалуйста, папку C:\Qoobox с паролем virus и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.

Удалите ComboFix

Установите SP3 (может потребоваться активация) + все новые патчи
Установите Internet Explorer 8 (даже если им не пользуетесь)

[Альбин]

папку в архиве отправила. Большое спасибо за помощь

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 33
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\администратор\application data\microsoft\bouretoo.exe - Trojan-Dropper.Win32.Vidro.yc ( DrWEB: Trojan.WinSpy.711, BitDefender: Gen:Variant.Zbot.7, AVAST4: Win32:Bamital-T [Drp] )
  2. c:\documents and settings\администратор\application data\microsoft\fitoomooh.exe - Trojan-Dropper.Win32.Vidro.yc ( DrWEB: Trojan.WinSpy.711, BitDefender: Gen:Variant.Zbot.7, AVAST4: Win32:Bamital-T [Drp] )
  3. c:\documents and settings\администратор\application data\microsoft\tilylejy.exe - Trojan-Dropper.Win32.Vidro.yc ( DrWEB: Trojan.WinSpy.711, BitDefender: Gen:Variant.Zbot.7, AVAST4: Win32:Bamital-T [Drp] )
  4. c:\documents and settings\администратор\application data\scddf.exe - Trojan.Win32.Buzus.dzvs ( DrWEB: Trojan.Packed.20177, BitDefender: Backdoor.Tofsee.Gen, NOD32: Win32/Inject.NDA trojan, AVAST4: Win32:Flot-L [Trj] )
  5. c:\docume~1\9335~1\locals~1\temp\wpm12.tmp - Trojan-Dropper.Win32.Vidro.yb ( DrWEB: Trojan.WinSpy.711, BitDefender: Gen:Variant.Zbot.7, AVAST4: Win32:Bamital-T [Drp] )
  6. c:\docume~1\9335~1\locals~1\temp\30369.exe - Trojan-Dropper.Win32.Vidro.xr ( DrWEB: Trojan.WinSpy.766, BitDefender: Gen:Variant.FakeAlert.4, NOD32: Win32/TrojanDownloader.Small.OXC trojan, AVAST4: Win32:Bamital-T [Drp] )
  7. c:\windows\explorer.exe:userini.exe - Backdoor.Win32.Bredolab.ehc ( BitDefender: Gen:Variant.Bredo.2, AVAST4: Win32:Bredolab-DG [Trj] )
  8. c:\windows\explorer.exe:userini.exe:$data - Backdoor.Win32.Bredolab.ehc ( BitDefender: Gen:Variant.Bredo.2, AVAST4: Win32:Bredolab-DG [Trj] )
  9. c:\windows\system32\userini.exe - Backdoor.Win32.Bredolab.ehc ( BitDefender: Gen:Variant.Bredo.2 )