Снова Virtumonde..

[sgorn]

Знаю, что тема избитая, но помогите, чем сможете..

[Ego1st]

выполните скрипт, после перезагрузки файлы из папки AVZ-Quarantine сегодняшнее число закачайте как указано в правила..

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\HFSYS.SYS','');
 QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
 QuarantineFile('C:\WINDOWS\system32\vtuutsp.dll','');
 QuarantineFile('C:\WINDOWS\system32\pmnlj.dll','');
 QuarantineFile('C:\WINDOWS\system32\axpggxkd.dll','');
RebootWindows(true);
end.

пропустил два файла хорошо поправили, если ещё не выполняли скрипт то хорошо, если выполняли, то ещё и этот выполните..

[AndreyKa]

Ответ Касперского по присланным файлам:
C:\WINDOWS\system32\vtuutsp.dll - AdWare.Win32.Virtumonde.ha
файлы
C:\WINDOWS\system32\drivers\hfsys.sys
C:\WINDOWS\system32\drivers\oreans32.sys - чистые

[sgorn]

Спасибо за ответы, но проблема осталась..
Может я неправильно понял Ego1sta?
Что касаемо vtuutsp и pmnno - я пробовал вручную удалять эти ключи из реестра, но после ребута они снова оказываются на месте, видимо паразит их генерит. Вопрос: как выщемить паразита?
Кто еще что может посоветовать, плиз?

[Geser]

begin
SetAVZGuardStatus(False);
 DeleteFile('C:\WINDOWS\system32\vtuutsp.dll');
ExecuteSysClean;
BC_ImportDeletedList; 
ExecuteSysClean;  
BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
BC_Activate; 
end.

выполнить скрипт, после пергрузки повторить логи.

[pig]

И добавить к ним boot_clr.log из каталога AVZ.

[Ego1st]

ещё бы два файлика проверить
C:\WINDOWS\system32\pmnlj.dll
C:\WINDOWS\system32\axpggxkd.dll
а то они в карантин не попали..

[sgorn]

Всё закачал, помогите быстрее, а то ситуация усугубляется: при включенном Аутпосте постоянно появляется окно с требованием перезагрузки..

[Ego1st]

а зачем вы туда логи закачали?

выполните..

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\pmnno.dll','');
 QuarantineFile('C:\WINDOWS\system32\pmkhi.dll','');
 QuarantineFile('C:\WINDOWS\system32\vtuutsp.dll','');
 DeleteFile('C:\WINDOWS\system32\vtuutsp.dll');
 DeleteFile('C:\WINDOWS\system32\pmkhi.dll');
 DeleteFile('C:\WINDOWS\system32\pmnno.dll');
BC_ImportDeletedList; 
ExecuteSysClean;  
BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
BC_Activate; 
RebootWindows(true);
end.

папку карантина закачать туда, куда вы закачали логи..
ну и ещё раз лог АВЗ приложить..

[Shu_b]

вложил...

[Geser]

Это я прошляпил в скрипте. Нельзя вызывать ExecuteSysClean перед BC_ImportDeletedList;

[sgorn]

Ой, господа, вы как-нибудь по-одному лечите, а то я совсем запутался, что кому нужно. А ситуация еще больше усложнилась-меня уже лишают прав доступа к настройкам системы..

[Ego1st]

выполните скрипт который я вверху написал..

[sgorn]

Ну, вроде извели паразита..
Всем спасибо и респект!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 6
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\vtuutsp.dll - not-a-virus:AdWare.Win32.Virtumonde.ha (DrWEB: Trojan.Virtumod)