И снова errorsafe

[Stasb]

Несколько дней воюю с этой заразой-и все равно где-то сидит.Восстановление системы отключено,KAV,doctorVEB,что-то поудаляли,но какая-то гадость все равно появляется.Установил Outpost и заблокировал сайт 82,98,235,61-туда постоянно лезет Explorer.exe-похоже он заражен,а как его вылечить не знаю.Когда работаешь в осле так тот сразу тянет на errorsafe.Сейчас установил Firefox-хоть не рвется на этот гребаный сайт.Помогите избавиться от этой заразы.
Файлы прилагаю.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('awtuuss.dll','');
 QuarantineFile('C:\WINDOWS\System32\qomnk.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки пришлите карантин согласно приложению 3 правил.

[Stasb]

файлы отправленны

[Bratez]

Попробуйте поискать файл 'awtuuss.dll' вручную, если найдется - пришлите по правилам.

[Stasb]

Файл не найден.Найден в реестре в разделе [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify]

[Stasb]

Простите,пожалуйста,нужно бежать на работу.Отвечу завтра.Кстати в этом же разделе есть и qomnk.dll.

[Bratez]

qomnk.dll - Trojan.Virtumod.
Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\qomnk.dll');
 DeleteFile('awtuuss.dll');
 DelWinlogonNotifyByFileName('qomnk.dll');
 DelWinlogonNotifyByFileName('awtuuss.dll');
 DelBHO('50BFBE09-6D1F-4354-ACD6-F24C8CAE4823');
BC_ImportDeletedList;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки приложите к теме файл 'boot_clr.log' и сделайте новые логи.

[Stasb]

Код выполнил,файлы прилагаю.

[Numb]

В программе Hijackthis пофиксите строки

O2 - BHO: (no name) - {182B90A3-F372-438A-800C-6814B4DE417B} - (no file)
O2 - BHO: (no name) - {67C55A8D-E808-4caa-9EA7-F77102DE0BB6} - (no file)
O2 - BHO: (no name) - {C8B64C24-5CD9-4D46-836D-9F3FB2B6DBF8} - C:\WINDOWS\System32\qomnk.dll (file missing)
O20 - Winlogon Notify: awtuuss - C:\WINDOWS\
O20 - Winlogon Notify: qomnk - C:\WINDOWS\

[Stasb]

Сделано.
Я поискал файл hosts-а он отсутстует.Нужно ли его создать с помощью Hijackthis?

[Numb]

Лучше так: AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
ClearHostsFile;
end.

. Файл hosts будет создан заново.

[Stasb]

Hosts создал.
Я так понимаю-наша борьба с errorsafe закончена?

[Numb]

Bratez с ним хорошо поборолся. Какие-нибудь симптомы заражения остались? На всякий случай, повторите логи, начиная с п.10 правил

[Stasb]

Какие-нибудь симптомы заражения остались?

Вроде бы нет.Логи сделал,прилагаю.
Огромное спасибо Numb и Bratez за оказанную помощь.

[PavelA]

Если Нортона Антивируса нет, то можно профиксить. Какой-то остаток от него остался.

O20 - Winlogon Notify: NavLogon - C:\WINDOWS\System32\NavLogon.dll

[Stasb]

Спасибо,PavelA,пофиксил.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\qomnk.dll - not-a-virus:AdWare.Win32.Virtumonde.fl (DrWEB: Trojan.Virtumod)