diagisr.dll заражен Win32:Warezov-AAU [Wrm]

[iliasht1]

Добрый день!
Вчера по дурости открыл ссылку, присланную по icq. Сразу после этого avast! начал кричать, что компьютер заражен. К сожалению, никак не могу скачать прогу CureIt!, т.к. он закачка идет очень медленно, а потом вообще останавливается
Сканировал комп авастом несколько раз в разных режимах, но он не может одалеть вирус. Теперь при каждой загрузке windows он начинает писать, что файл C:\WINDOWS\system32\diagisr.dll заражен червем Win32:Warezov-AAU [Wrm]
При этом, я никак не могу удалить этот файл. Пытался удалить его через коммандную строку в безопасном режиме, но он пишет, что такого файла не существует. С помощью AVZ файл тоже не удаляется (пытался изложенными в http://virusinfo.info/showthread.php?t=4896 способами). Ничего не помогает. Каждый раз все равно появляется сообщение о черве (((

[iliasht1]

забыл добавить, что я также пытался с помощью AVZ добавить файл в карантин и удалить...

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Downloaded Program Files\launcher.ocx','');
 QuarantineFile('C:\WINDOWS\system32\trafracp.dll','');
 QuarantineFile('C:\WINDOWS\System32\shfoxpob.exe','');
 QuarantineFile('C:\WINDOWS\system32\shfoxpob.dll','');
 QuarantineFile('C:\WINDOWS\System32\msstersv.dll','');
 QuarantineFile('C:\WINDOWS\skksd32.exe','');
 QuarantineFile('C:\WINDOWS\idl32.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. Пришлите содержимое карантина согласно приложению 3 правил.

[iliasht1]

вроде как послался...

[Bratez]

trafracp.dll, shfoxpob.exe, shfoxpob.dll, msstersv.dll -
Email-Worm.Win32.Warezov.nd

skksd32.exe и idl32.exe -
тоже Warezov (aka Limar, Stration) только другая модификация, Касперским пока не детектируется!

18/04/2007 Уже добавлен в базу (Email-Worm.Win32.Warezov.ne).

[Bratez]

Попробуйте отыскать вручную эти файлы:
C:\WINDOWS\Downloaded Program Files\launcher.ocx
launcher39.cab

И еще - что за программа Smile (ярлык в автозапуске)?

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\idl32.exe');
 DeleteFile('C:\WINDOWS\skksd32.exe');
 DeleteFile('C:\WINDOWS\System32\msstersv.dll');
 DeleteFile('C:\WINDOWS\system32\shfoxpob.dll');
 DeleteFile('C:\WINDOWS\System32\shfoxpob.exe');
 DeleteFile('C:\WINDOWS\System32\trafracp.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[iliasht1]

Файл launcher удалил вручную, а smile - это прога моего подключения к интернету.
Скрипт выполнил. Вроде антивирус пока ничего не засекает

[Bratez]

Хорошо. Сделайте новые логи п.10 и 12 правил.

launcher этот зря поспешили удалить, хотелось его глянуть

[iliasht1]

Ну откуда ж я знал, что этот файл представляет научный интерес?

[Bratez]

Все нормально, лечение окончено. Только пофиксите это:

O20 - AppInit_DLLs:  trafracp.dll
O20 - Winlogon Notify: shfoxpob - C:\WINDOWS\

[iliasht1]

СПАСИБО БОЛЬШОЕ ЗА ПОМОЩЬ

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 20
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\idl32.exe - Email-Worm.Win32.Warezov.rc (DrWEB: Win32.HLLM.Limar)
  2. c:\\windows\\skksd32.exe - Email-Worm.Win32.Warezov.ne (DrWEB: Win32.HLLM.Limar)
  3. c:\\windows\\system32\\msstersv.dll - Email-Worm.Win32.Warezov.nd (DrWEB: Win32.HLLM.Limar)
  4. c:\\windows\\system32\\shfoxpob.dll - Email-Worm.Win32.Warezov.nd (DrWEB: Win32.HLLM.Limar)
  5. c:\\windows\\system32\\shfoxpob.exe - Email-Worm.Win32.Warezov.nd (DrWEB: Win32.HLLM.Limar)
  6. c:\\windows\\system32\\trafracp.dll - Email-Worm.Win32.Warezov.nd (DrWEB: Win32.HLLM.Limar)