В системе вычищено более 100 вирусов и троянов. Подозрение на остатки.

[Итрий]

Добрый день. У знакомых установлен компьютер. Подключен интернет, откедова повалили вирусы. Любопытно как-то, на моей личной системе услуги предоставляет тот же провайдер, вирусов не наблюдаю. А здесь зараза валит толпами.
Поставлен доктор Веб, вычистил штук эдак 110 всякого барахла. Но подозреваю после такой толпы что-нибудь затаилось. Система виснет, вылетают различные ошибки... сама ли по себе, либо вирусняки помогли в этом. Просмотрите, пожалуйста.

[polword]

1.Профиксите в HijackThis

O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\cfdrive32.exe
O4 - HKLM\..\Run: [MSODESNV7] C:\WINDOWS\system32\msvmiode.exe
O4 - HKCU\..\Run: [msnmsgs] C:\Documents and Settings\Администратор\Application Data\crrasip.exe
O4 - HKLM\..\Policies\Explorer\Run: [msnmsg] C:\Documents and Settings\Администратор\Application Data\jjywk.exe
O4 - HKLM\..\Policies\Explorer\Run: [Driversys32] C:\WINDOWS\hrfwv.exe
O4 - HKLM\..\Policies\Explorer\Run: [VGAResolution] C:\WINDOWS\hrfwv.exe
O4 - HKLM\..\Policies\Explorer\Run: [msnmsgs] C:\Documents and Settings\Администратор\Application Data\crrasip.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\cfdrive32.exe
O4 - HKUS\S-1-5-18\..\Run: [VGAResolution] 53.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [msnmsgs] C:\Documents and Settings\Администратор\Application Data\xuobasq.exe (User 'SYSTEM')

2. Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\hrfwv.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\xuobasq.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\jjywk.exe','');
 QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\vqpib.exe','');
 QuarantineFile('53.exe','');
 DeleteFile('53.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
 DeleteFile('C:\Documents and Settings\NetworkService\Application Data\vqpib.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\jjywk.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsg');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\xuobasq.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
 DeleteFile('C:\WINDOWS\hrfwv.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGAResolution');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

[Итрий]

Логи от AVZ приложены, quarantine.zip отослан. Лог MBAM не получилось сделать. При первом запуске MBAM начал успешно сканировать систему, прошло 45 минут, были найдены 4 инфицированных файла, проверка не закончилась и MBAM вылетел. При следующих попытках загрузить программу, она не загружалась. Если точнее, в запущенном диспетчере задач было видно что MBAM начинает запускаться, но тут же вылетает, не успевая показать на рабочий стол окно интерфейса.

Заметил, что после выполнения фикса в HijackThis и первого лога в AVZ пришлось делать принудительную перезагрузку систмы, т.к. она зависала именно при начале процесса выхода из системы.

На данный момент Доктор Веб постоянно отыскивает вирусы и трояны, соответственно показывает что такой-то и такой-то файл заражен и будет удален. Преимущественно в папках, связанных с хранением файлов, сохраняемых из Инета. Хотя вроде бы есть и файлы, которые же до этого антивирус показывал.

С Firfox зайти на virusinfo.info не могу. Пишет: Время ожидания ответа от сервера virusinfo.info истекло. Остальные сайты грузятся без проблем. Сторонних файрволлов в системе не установлено, брандмауер Windows отключен. В данный момент на virusinfo.info зашел с IE.

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\53.exe','');
 QuarantineFile('C:\WINDOWS\system32\40.scr','');
 QuarantineFile('C:\WINDOWS\system32\71.scr','');
 QuarantineFile('C:\WINDOWS\system32\15.scr','');
 QuarantineFile('C:\WINDOWS\system32\20.scr','');
 QuarantineFile('C:\WINDOWS\system32\86.exe','');
 QuarantineFile('C:\WINDOWS\system32\16.exe','');
 QuarantineFile('C:\WINDOWS\system32\24.exe','');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\336.exe','');
 TerminateProcessByName('c:\windows\cfdrive32.exe');
 DeleteFile('c:\windows\cfdrive32.exe');
 DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\336.exe');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\53.exe');
 DeleteFile('C:\WINDOWS\system32\40.scr');
 DeleteFile('C:\WINDOWS\system32\71.scr');
 DeleteFile('C:\WINDOWS\system32\15.scr');
 DeleteFile('C:\WINDOWS\system32\20.scr');
 DeleteFile('C:\WINDOWS\system32\86.exe');
 DeleteFile('C:\WINDOWS\system32\16.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Скачайте RSIT тут. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[Итрий]

AVZ не запускался. Пришлось переименовывать. Назвал 777.pif
После переименования скрипты выполнились. Также нормально выполнились стандартные скрипты.
Аналогично вылетал HijackThis, переименование не помогло (в tamtam.com). После запуска переименованного файла вылетел в синий экран. Скачал переименованный файл с faq. Результат почти то же, HijackThis
запустился, начал делать лог, на половине процесса вылетел в синий экран.
RSIT по указанной ссылке загрузить не удалось. Также не получилось загрузить ни по одной ссылке с портала http://virusinfo.info Загрузил с http://www.virusnet.info/random/ru/RSIT.exe Прога запустилась. Соответственно, при попытке загрузки HijackThis - вылет в синий экран.
MBAM после переименования (в kuku.cmd) запустился. Но делать логи пока не стал.

Честно говоря, решил посоветоваться. А может ну к черту все это лечение, если есть более простое решение? В системе нет ценной информации, значит можно смело форматировать жесткий и ставить Винду. Единственное почему не делал это ранее... а будет ли толк? Не сможет ли остаться что-нибудь скажем... в загрузочном секторе? Что в таких случаях... заново сделать разбивку винта? В крайнем случае, после полного сноса и зачистки продолжить в данной же теме проверку (ну или уже для гарантии). Или же рекомендуете продолжить взаимные мучения по зачистке системы? )

С уважением, Итрий.

[polword]

- сделайте лог Combofix

Если есть желание и нет нужной информации можете переустановить систему с предварительным форматом диска.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 49
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\администратор\\application data\\ltzqai.exe - Trojan.Win32.Pincav.aitu ( DrWEB: Win32.HLLW.Lime.1747, BitDefender: Trojan.Generic.5014213, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )
  2. c:\\docume~1\\9335~1\\locals~1\\temp\\336.exe - Trojan.Win32.Pincav.aivi ( DrWEB: Trojan.DownLoader1.30603, BitDefender: Trojan.Generic.KDV.52065, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )
  3. c:\\windows\\cfdrive32.exe - Trojan.Win32.Jorik.SdBot.fl ( DrWEB: Trojan.AVKill.2, BitDefender: Trojan.Generic.5007141, NOD32: IRC/SdBot trojan, AVAST4: Win32:Rebhip-AC [Trj] )
  4. c:\\windows\\system32\\msvmiode.exe - Trojan.Win32.Jorik.Tedroo.m ( DrWEB: Trojan.Spambot.9106, BitDefender: Trojan.Generic.4986120, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Malware-gen )
  5. c:\\windows\\system32\\15.scr - Trojan.Win32.Jorik.Hamweq.be ( DrWEB: Trojan.AVKill.2, BitDefender: Trojan.Generic.6015396, AVAST4: Win32:AutoRun-BPN [Wrm] )
  6. c:\\windows\\system32\\16.exe - P2P-Worm.Win32.Palevo.axfn ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5228964, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )
  7. c:\\windows\\system32\\20.scr - Trojan.Win32.Jorik.Hamweq.be ( BitDefender: Trojan.Generic.6015396, AVAST4: Win32:Malware-gen )
  8. c:\\windows\\system32\\24.exe - P2P-Worm.Win32.Palevo.axfn ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5228964, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )
  9. c:\\windows\\system32\\40.scr - Trojan.Win32.Jorik.Hamweq.be ( DrWEB: Trojan.VbCrypt.66, BitDefender: Trojan.Generic.6015396, AVAST4: Win32:Malware-gen )
  10. c:\\windows\\system32\\53.exe - P2P-Worm.Win32.Palevo.axfn ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5228964, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )
  11. c:\\windows\\system32\\71.scr - Trojan.Win32.Jorik.Hamweq.be ( BitDefender: Trojan.Generic.6015396, AVAST4: Win32:Malware-gen )
  12. c:\\windows\\system32\\86.exe - P2P-Worm.Win32.Palevo.axfn ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5228964, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )