cfdrive32, msvmiode

[poganka_ua]

в диспечере задач отображаются процесы cfdrive32 и msvmiode. cure it - индефицирует файлы, вроде как удаляет, но после перезагрузки системы, они опять появляются.

[Никита Соловьев]

Загрузите AVZ 4.35, обновите базы и переделайте логи заново.

[poganka_ua]

вот

[Никита Соловьев]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 TerminateProcessByName('c:\windows\cfdrive32.exe');
 QuarantineFile('%System32%\??.exe','');
 QuarantineFile('C:\WINDOWS\system32\86.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6205829999-2199299402-847294211-2092\syscr.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6205829999-2199299402-847294211-2092\syscr.exe');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 DeleteFile('C:\WINDOWS\system32\86.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Файл quarantine.zip загрузите по ссылке прислать запрошенный карантин.

Сделайте новые логи

Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[poganka_ua]

новые логи

[Никита Соловьев]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\07.exe');
 DeleteFile('C:\WINDOWS\system32\01.exe');
 DeleteFile('C:\WINDOWS\system32\65.exe');
 DeleteFile('C:\WINDOWS\system32\58.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
 BC_DeleteFile('C:\RECYCLER\S-1-5-21-6205829999-2199299402-847294211-2092\syscr.exe');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Сделайте новый лог RSIT

[poganka_ua]

вот сделала

[Никита Соловьев]

такой лог сделайте: http://virusinfo.info/showthread.php?t=53070

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\application data\\ltzqai.exe - Trojan.Win32.Jorik.SdBot.bg ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Agent.VB.BPT, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Inject-AII [Trj] )
  2. c:\\recycler\\s-1-5-21-6205829999-2199299402-847294211-2092\\syscr.exe - P2P-Worm.Win32.Palevo.avbw ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.4970331, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )
  3. c:\\windows\\cfdrive32.exe - Trojan.Win32.Pincav.afqa ( DrWEB: Trojan.AVKill.2300, BitDefender: Trojan.Agent.AQOF, NOD32: IRC/SdBot trojan, AVAST4: Win32:Inject-AEP [Trj] )
  4. c:\\windows\\system32\\msvmiode.exe - Email-Worm.Win32.Joleee.ghb ( DrWEB: Trojan.Spambot.9106, BitDefender: Gen:Variant.TDss.18, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Inject-AEP [Trj] )
  5. c:\\windows\\system32\\01.exe - P2P-Worm.Win32.Palevo.avbw ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.4970331, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )
  6. c:\\windows\\system32\\07.exe - P2P-Worm.Win32.Palevo.avbw ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.4970331, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )
  7. c:\\windows\\system32\\58.exe - P2P-Worm.Win32.Palevo.avbw ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.4970331, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )
  8. c:\\windows\\system32\\65.exe - P2P-Worm.Win32.Palevo.avbw ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.4970331, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )
  9. c:\\windows\\system32\\86.exe - P2P-Worm.Win32.Palevo.avbw ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.4970331, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )