Прошу помочь с жутким "oekx.exe'

[Angel_A]

столкнулась с данной проблемой.. очень прошу помочь. боролась сама 4 дня. не выходит спасибо

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 DeleteFileMask('%Tmp%', '*.*', true, '01ARX');
 DeleteFileMask('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\', '*.*', true, '01ARX');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[Angel_A]

не смогла залить карантин. пишет,что файл уже был залит

[V_Bond]

выполните скрипт

begin
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Администратор\Application Data\oekx.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

[Angel_A]

кстати, вирус в самом начале создал себе папку на диске Д. щас не могу ее удалить. ну никак вообще.говорит,что в доступе отказано

[V_Bond]

выполните скрипт

begin
SetAVZGuardStatus(True);
DeleteFileMask('%Tmp%', '*.*', true, '01ARX');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

так http://virusinfo.info/showthread.php?t=17228 попробуйте удалить папку с диска d

[Angel_A]

папку сначала не хотел убирать писал deleted failed, но потом таки убрал. но увидела,что есть 4 странно названные папки,которые не убираются вообще никак.

[V_Bond]

выполните скрипт

begin
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\temp\486.exe');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\temp\082.exe');
DeleteFileMask('%Tmp%', '*.*', true, '01ARX');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите virusinfo_syscheck.zip

[Angel_A]

кстати, может это несущественно, но при загрузке он выбирает между двумя вариантами Windows - одна обычная, а другая какая-то с отладками. причем выбрать не дает, экран обновляется через 2 сек

[thyrex]

Плохого не видно

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена

Установите SP3 (может потребоваться активация) + все новые обновления для Windows

[Angel_A]

хорошо, спасибо. буду надеяться,что все удалилось..
просто уже один раз вроде все убрала. а оно опять появилось..

Добавлено через 3 часа 0 минут

гм, сделала по рекомендациям. перешла под ограниченную запись (лечила под админом)
сейчас вирус царит в юзере, а в одмине ничего.. что делать? все те же скрипты, но в юзере прогнать?

[V_Bond]

сделайте virusinfo_syscheck.zip под юзером

[Angel_A]

хотя чего там. уже в админскую вирус пролез :/

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\hmm\Application Data\oekx.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psysnew');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\57.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[Angel_A]

появился taskman.exe

[Angel_A]

хм?

Добавлено через 6 минут

все вернулось. проделываю скрипт- через минут 15, максимум час возвращается все

[thyrex]

Обновления установили, вышедшие после SP3? Если нет, нужно это сделать. У Вас сетевой червь

Сделайте лог ComboFix
Сделайте лог полного сканирования МВАМ

[Angel_A]

если б все дело было только в черве..
обновления установила

[thyrex]

Удалите в МВАМ

Заражённые папки:
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1455 (Worm.AutoRun) -> No action taken.

Заражённые файлы:
c:\documents and settings\alina\application data\oekx.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\alina\local settings\temporary internet files\Content.IE5\DKNF60S6\thenadioscbw[1]._ (Trojan.Agent) -> No action taken.
c:\documents and settings\hmm\application data\oekx.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\hmm\local settings\temp\27677.exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\hmm\local settings\temp\372529.exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\hmm\local settings\temp\496397.exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\hmm\local settings\temp\9018589.exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\hmm\local settings\temporary internet files\Content.IE5\BEXJ7NRI\meinsummer20019[1].cq (Backdoor.Bot) -> No action taken.
c:\documents and settings\hmm\local settings\temporary internet files\Content.IE5\BEXJ7NRI\psjefwbh[1]._ (Backdoor.Bot) -> No action taken.
c:\documents and settings\hmm\local settings\temporary internet files\Content.IE5\BEXJ7NRI\thenadioscbw[1]._ (Trojan.Agent) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\M0JSCHH6\nnet[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\M0JSCHH6\nnet[2].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\M0JSCHH6\nnet[3].exe (Trojan.Agent) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\cfdrive32.exe.vir (Backdoor.Bot) -> No action taken.
c:\WINDOWS\system32\08.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\83.exe (Trojan.Agent) -> No action taken.
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1455\Desktop.ini (Worm.AutoRun) -> No action taken.