Вирус мгновенно изменяет антивирусные и т.п. exe-файлы

[Egorrr]

Предистория: запущен exe-файл с вирусом. Через нек. время комп сам перегрузился, блокирована сеть. Сеть восстановлена отключением в службах msconfig "Remote Packet capture protocol V0 (experimental)" - вроде в нем проблема была (?).

Сейчас вирус "мониторит" все диски и мгновенно изменяет все антивирусные exe-файлы, в т.ч. фаервол - outpost.exe, так, что при запуске пояляется сообщение вида "C:\..\...exe не является приложением Win32". Время изменения всех exe антивирусных файлов - текущее системное. Остальные (не антивирусные) программы работают нормально.
Невозможно даже заменить отдельные файлы (outpost.exe, ...) или запустить AVZ (т.к. файлы мгновенно изменяются), скачать HiJackThis - при скачке exe-файла браузер сразу же "вылетает".
Также идет постоянный обмен пакетами по сети при отключенном браузере.

При запуске в дисп. задач немного висят подозрительные

winupgro.exe
agent.exe
is-JP6A8.tmp

и потом исчезают.

Помогите решить проблему.

[polword]

- попробуйте сделать логи таким AVZ (http://gjf.hotbox.ru/mink.pif)

[Egorrr]

Апдейт:
Был запущен файл serial.exe с вирусом, вот его скан:

http://www.virustotal.com/file-scan/report.html?id=19e69d69bc544cba56660e4ecd62847ca50 7129b817813438ce65a11895e62ab-1277561482

[Rene-gad]

Пользуйтесь исключительно легальным ПО.
- Пролечитесь с LiveCD ("http://virusinfo.info/showthread.php?t=15927) от файловых вирусов.

[Egorrr]

Файл mink.pif не запускается (ничего не происходит).

[polword]

- Пролечитесь с LiveCD (http://%22http://virusinfo.info/showthread.php?t=15927) от файловых вирусов.
выполняйте вот эту рекомендацию

[Egorrr]

ОК, сейчас запущу LiveCD с диска :P

Добавлено через 4 часа 10 минут

Вручную удалил с помощью коммандера в LiveCD следующие файлы (были отмечены как подозрительные при сканировании OSAM):

C:\Windows\system32\srnh.lto
C:\WINDOWS\system32\wfsintwq.sys
C:\Documents and Settings\Egor\Application Data\drivers\winupgro.exe
C:\Documents and Settings\Egor\Application Data\m\flec006.exe

В последней строке удалил всю папку "m" (в ней все файлы изменены в момент заражения). В результате сейчас при загрузке windows в любом режиме комп уходит в перезагрузку. Как мне запустить сейчас виндовз?
Сканер c LiveCD после удаления указанных файлов ничего больше не нашел.
Также появилаь папка c:\Program Files\e с кучей якобы zip-архивов программ - результат работы вируса

[thyrex]

Это месть Bagle.


В результате сейчас при загрузке windows в любом режиме комп уходит в перезагрузку.html-лог работы утилиты OSAM заархивируйте и прикрепите к своему сообщению

[Egorrr]

Сейчас виндовс вылетает с бсод CONFIG_LIST_FAILED 0x00000073
(0x00000001, 0xC000017D, 0x00000002, 0xF7374BB8 )
Лог-файл заархивировать нет возможности, вот ссылка на скачку html-файла:
http://slil.ru/29560243

Или вложение - необходимо изменить расширение на html (это не архив, а html файл!)

Дак есть идея как виндовз реанимировать? Восстановить удаленные файлы?
Она с 2006 года стоит... =)

Никаких идей по восстановлению нет?..

[thyrex]

Попробуйте с помощью LiveCD забраться в реестр и в ветке

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run удалите ключи запуска

"DAEMON Tools Lite" "Info soft" "H:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
"drvsyskit" "Info soft" C:\Documents and Settings\Egor\Application Data\drivers\winupgro.exe
"mule_st_key" C:\Documents and Settings\Egor\Application Data\m\flec006.exe

[Egorrr]

Как это сделать (открыть "regedit") в LiveCD? Что нужно запустить?
Также хотелось бы запустить программу типа chkdsk для проверки C:\

[Rene-gad]

Архив битый. Логов нет. Переставляйте ОС, быстрее будет дело.

[thyrex]

1. Скачайте образ ERD Commander, запишите на болванку и загрузитесь с созданного диска
2. Пуск - Выполнить - erdregedit

[Egorrr]

Rene-gad, это не архив, а html-файл, переименованный в zip

thyrex, как я буду писать образ, если у меня из доступных програм щас LiveCD с фаерфоксом, откуда и пишу? =)
Если только готовое взять.:)

[thyrex]

Тогда проще будет воспользоваться советом Rene-gad

[Egorrr]

Проще восстановить систему, которой 4 года и на ней огромная куча всего :)

Chkdsk нашел файл реестра "...config\software.log" (был общий кластер). Поэтому BSOD показывал ошибку (...0xC000017D...) - "не хватает места на диске".
Теперь система загружается и все спокойно (повреждены фаервол, DrWeb и daemon как минимум), произвел сканирование AVZ и HJ.
Но удаленный winupgro.exe при перезагрузке, естественно, появляется в
C:\Documents and Settings\Egor\Application Data\drivers\winupgro.exe

Какие дальнейшие действия по поиску вируса?

[thyrex]

Сделайте лог http://virusinfo.info/showpost.php?p=493610&postcount=1

[Egorrr]

При запуске combofix сделал окошко с пустой ошибкой "Ошибка OK", комп перегрузился и сканер попросил скачать (включить) восстановление системы. Я отказался.
При сканировании, некий процесс PEV.cfxxe выдал - "обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства."
Извинения за "неудобства" не приняты. :) >:(

После работы combofix начал работать брандмауэр Windows, который очень давно был отключен o.O

[thyrex]

Пофиксите в HiJack, если найдется

O4 - HKCU\..\Run: [mule_st_key] C:\Documents and Settings\Egor\Application Data\m\flec006.exe

Брандмауэр отключите. Файрволл, если не работает, придется переустановить

Удалите ComboFix (http://virusinfo.info/showpost.php?p=500136&postcount=2)

Больше плохого не видно

Установите Internet Explorer 8 (http://www.microsoft.com/rus/windows/internet-explorer/default.aspx) (даже если им не пользуетесь)
Обновите JavaRE (http://www.java.com/ru/download/manual.jsp)

[Egorrr]

Спасибо, проблема решена :)