rundll32.exe достал

[tu-104]

Сабж. Запускается куча и не пропадает, пока руками не завершишь.

Из процесс експлорера:
Порождает их D:\WINDOWS\System32\svchost.exe -k netsvcs

Path: D:\WINDOWS\System32\rundll32.exe
CMD line: rundll32.exe zfyspqu.u,qrvnuvk (варьируется, rundll32.exe zfyspqu.u,mjynx или rundll32.exe zfyspqu.u,jbfau)

Что это такое?
Логи прилагаю.
ПС. АВЗ зачем-то убил альтернативный notepad.ехе, сказав, что это кейлоггер. Могу этот блокнот тоже приложить.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\Documents and Settings\Владислав\s87ekhv.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

[tu-104]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\Documents and Settings\Владислав\s87ekhv.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

s87ekhv удалил, сразу как логи запостил. Он, видимо, от какой-то заразы остался раньше. рундлл32 появляются...

[polword]

повторите логи

где они....

[thyrex]

Перед повторными логами

Пофиксите в hijack

F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe
O21 - SSODL: System - {8BFB3292-5AD6-45AD-BD91-32349C667819} - sysw.dll (file missing)

По симптомам похоже на то, что к Вам ломится Кидо
А вот система у Вас сплошное решето

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Обновляться нужно. И чем быстрее, тем лучше для Вас

[tu-104]

где они....

сейчас будут.

Пофиксите в hijack
Код:
F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe

сделал, хотя параметр userinit просто был написан не заглавными буквам, ничего криминального...

А вот система у Вас сплошное решето

заплатки MS08-068, MS09-001, MS08-067 стоят. СП3 чего нет, того нет...

По симптомам похоже на то, что к Вам ломится Кидо

Как узнать откуда? и уточнить, что это он?

[thyrex]

Лучше не уточнять откуда ломится Кидо, а обновлять систему

Пофиксите в HiJack

O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)
O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)

Больше плохого не видно

Установите SP3 (может потребоваться активация) + все новые патчи
Установите Internet Explorer 8 (даже если им не пользуетесь)
Установите Adobe Acrobat 9.3 или удалите старый
Обновите JavaRE

[tu-104]

Лучше не уточнять откуда ломится Кидо, а обновлять систему

Пофиксите в HiJack

O9 - Extra button: (no name) - {53F6FCCD-9E22-4d71-86EA-6E43136192AB} - (no file)
O9 - Extra button: (no name) - {925DAB62-F9AC-4221-806A-057BFB1014AA} - (no file)

Больше плохого не видно

Установите SP3 (может потребоваться активация) + все новые патчи
Установите Internet Explorer 8 (даже если им не пользуетесь)
Установите Adobe Acrobat 9.3 или удалите старый
Обновите JavaRE

сделал, кроме SP3, все также.

[thyrex]

сделал, кроме SP3

Вот потому и

все также.

[tu-104]

Вот потому и

накатил вчера SP3, оставил на ночь.
сегодня опять эта хрень. (по времени показывает 21:41, в сети врядли кто-то еще был)
скрин с обновлениями. может еще чего?

[thyrex]

Вы установили все обновления, вышедшие после SP3?

[tu-104]

Вы установили все обновления, вышедшие после SP3?

нет. их куча

[thyrex]

нет. их куча

Включите автоматическое обновление и система сама все скачает

[tu-104]

готово.
ну вот, все обновления с сайта установлены.
ВылеЗЛО снова.

[polword]

- Сделайте лог MBAM

[tu-104]

лог

[polword]

1. удалите в MBAM

Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\clinker.clinkerbho (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\clinker.clinkerbho.1 (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{c1a4652d-4cbe-485a-92a0-bdec9def0e2b} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\AppID\{866e38f6-b2f5-4c0e-b0b9-54b7d5bb8651} (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{3cc3d8fe-f0e0-4dd1-a69a-8c56bcc7bebf} (Adware.SmartShopper) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{3cc3d8fe-f0e0-4dd1-a69a-8c56bcc7bec0} (Adware.SmartShopper) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{4a7c84e2-e95c-43c6-8dd3-03abcd0eb60e} (Adware.SmartShopper) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{c7bcfd25-5c30-4bcf-9483-6f151a54f7c9} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.

Зараженные файлы:
D:\Documents and Settings\Владислав\Application Data\fieryads.dat (Adware.FieryAds) -> No action taken.

2.Выполните скрипт в AVZ

begin
 QuarantineFile('D:\WINDOWS\system32\msconftb.sys','');
 QuarantineFile('F:\work\Делфи\test\примеры, кнопки\FSG.EXE','');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

[tu-104]

готово.
:\work\Делфи\test\примеры, кнопки\FSG.EXE' - это упаковщик ЕХЕшников

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('D:\WINDOWS\system32\msconftb.sys');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог MBAM

[tu-104]

стандартные логи.

- Сделайте лог MBAM

это на целый день. к вечеру будет готово
+снова скрин rundll
+лог мвам