Backdoor.Win32.Haxdoor.kz - мешает жить

Вчера на чужом компе увидел, что на моей флешке есть вирус. Пришел домой и проверил флешку Касперским, он ничего не нашел. Со спокойной душой открыл ее. Сегодня начались проблемы. Каспер определил их, как Backdoor.Win32.Haxdoor.kz Некоторые программы не открываются(E-mule,Process Master), с адреса 77.222.101.37 постоянно идет атака Intrusion.Win.DCOM.exploit, не открываются свойства "Мой компьютер" (хотел отключить восстановление системы, у меня стоит XP), вылечить средствами Каспера не удалось.
Заранее большое спасибо. Буду безмерно благодарен за любую помощь и сочуствие.

Извините, выкладываю требуемые файлы.

Удалить вашу версию касперского .
поставить последнею версию касперского 7.0.0.125- мне просто интересно почему вы до сих пор этого не сделали?
В защищённом режиме загрузиться ,поставить настройки сканера по максимуму включая "лечение" руткитов.Сообщите о результатах ;)

Спасибо за совет, попытаюсь. Просто не мог включить E-mule, чтобы по сети скачать обновленного Каспера.

[QUOTE='Apache;125353']Спасибо за совет, попытаюсь. Просто не мог включить E-mule, чтобы по сети скачать обновленного Каспера.[/QUOTE]этого делать не стоит ;) программы, особенно по безопасности, качают с официальных сайтов: [url]http://www.kaspersky.ru/productupdates?chapter=186544972&downlink=206910097[/url]

На всякий случай лечение :
Отключите антивирус,
[size="1"][color="#666686"][B]Добавлено через 30 минут[/B][/color][/size]
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\userinit.exe','');
QuarantineFile('d:\docume~1\magus\locals~1\temp\winlogon.exe','');
QuarantineFile('D:\WINDOWS\system32\ovrscn.dll','');
QuarantineFile('D:\WINDOWS\system32\DefLib.sys','');
QuarantineFile('\D:\WINDOWS\system32\ovwscn.sys','');
QuarantineFile('D:\WINDOWS\system32\ovrscn.sys','');
KillProcess(1740);
DeleteFile('d:\docume~1\magus\locals~1\temp\winlogon.exe');
DeleteFile('D:\WINDOWS\system32\ovrscn.dll');
DeleteFile('D:\WINDOWS\system32\DefLib.sys');
DeleteFile('D:\WINDOWS\system32\ovwscn.sys');
DeleteFile('D:\WINDOWS\system32\ovrscn.sys');
DeleteFile('D:\WINDOWS\userinit.exe');
DeleteFile('D:\WINDOWS\system32\qz.dll');
DeleteFile('c:\winnt\system32\svchost.exe:exe.exe:$DATA');
DeleteFile('c:\winnt\system32\svchost.exe:exe.exe');
BC_DeleteSvc('ICF');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

Спасибо за ваши советы. В общем, угроза миновала (по крайней мере программы работают и Каспер не сообщает о вирусах). Установил 6-ю версию. Очень помогла ваша утилита AVZ, потому что не мог снести старого каспера, а с ее помощью выгружал dll вируса, кое-как чистил (точнее она сама восстанавливала процессы), а потом установил.
К сожалению ограничен в траффике, поэтому скачал с локалки. Возможно потом, когда разбогатею, куплю нормальную защиту от подобных неприятностей;)
Еще раз спасибо за помощь. Если что-то пойдет не так, обязательно напишу в этой теме. Вы делаете хорошее дело. Спасибо, респект!!!

[size="1"][color="#666686"][B]Добавлено через 11 минут[/B][/color][/size]
На всякий случай выполнил ваш скрипт. Файл выслал:
Файл сохранён как070728_230049_virus_46ab92616771c.zipРазмер файла122026MD574c7567723f2f39a8b3633069c1fac8f

Надеюсь, что все теперь в порядке. Удачи Вам!!!

Повторите логи.

Высылаю требуемое, пока все спокойно.

остался не большой следок. ;)
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('ovrscn.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[/code]
Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[code]O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)[/code]
советую почистить временные файлы и я бы ещё прошёлся чистилкой реестра tuneup utilities 2007.
Также, что это за файл : D:\Documents and Settings\Magus\Рабочий стол\ЮРА\индивидуалки\8_complete_comment\superzamok8.exe
лучше не запускать такое счастье ;)

*Отключить службы netmeeting и справку удалённого стола.
** В любом случае, ваш антивирус6 версии старый ;)Так что не удивляйтесь, если что-то не будет ловить ;)
***Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : [url]http://virusinfo.info/showthread.php?t=3519[/url]
Мы будем Вам очень благодарны!

Удачи!

Спасибо за ваше время! Результат превзошел все ожидания. Чем смог, тем помог, файлы собрал и выслал:

Файл сохранён как 070729_161955_virusinfo_files_APACHE_46ac85eb76da4.zip
Размер файла 8440304
MD5 b6f40c30add0988bf22ac3cb1c417ef7

Книжку про безопасный интернет скачал - будет что почитать на досуге. Снес IE поставил Opera 9.10 Реестр почистил с помощью Tuneup... Пока все просто супер и это благодаря Вам!!!
Респект, если нужен будет PR вашему проекту - обращайтесь, помогу!!!
Удачи во всех начинаниях!!!

[QUOTE='Apache;125508']Респект, если нужен будет PR вашему проекту - обращайтесь, помогу!!![/QUOTE]PR это кто или что? :)

[B]Maxim[/B], [url]http://www.krugosvet.ru/articles/117/1011765/1011765a1.htm[/url]


[B]Apache[/B], Во первых уже свежее версия есть так как всегда надо следить за последними версиями (закрывают старые дырки, новые возможности появляются (возможно с новыми дырками, но такова жизнь ;)) ;-))
Во вторых,полностью удалить IE не выйдет так как слишком глубоко внедрено в систему(даже если удастся- это в будущем может плохо повлиять на систему, мало не покажется )
Лучше IE не пользоваться, запретить файрволом выход в интеренет. А если очень надо, можно пару раз разрешить при необходимости.
Насчёт хорошей рекламы,то мы не отказываемся ;-)Нам интересно, что именно вы имели ввиду, расскажите подробней , открыв новую тему в разделе по ссылке
: [url]http://virusinfo.info/forumdisplay.php?f=33[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\docume~1\\magus\\locals~1\\temp\\winlogon.exe - [B]Trojan-Proxy.Win32.Puma.pz[/B] (DrWEB: Trojan.Packed.147)[*] d:\\windows\\userinit.exe - [B]Backdoor.Win32.Haxdoor.kz[/B] (DrWEB: Trojan.Packed.166)[/LIST][/LIST]