опять Brontok и странные атаки

Буквально неделю назад обращалась к Вам за помощью.
Комп вроде успешно почистили от всякой пакости, но на следующий же день снова вылез Бронток. Каспер его успешно блокирует, но судя по его логу, Бронток все лезет и лезет.
С отключенными уведомлениями это не очень мешает, Каспер даже не считает его за разные вирусы, один раз посчитал и дальше просто блокирует. Но вообще напрягает, что он все-таки жив.
Проверка CureIt показала, что все чисто, проверка AVZ сигнализирует о каких-то атаках.

Помогите пожалуйста.
Лог прилагаю

[ATTACH]19032[/ATTACH]

[ATTACH]19033[/ATTACH]

[ATTACH]19034[/ATTACH]

бронтока я не увидел, наверно засыпаю ;)Однако вот эти файлы знаете от чего :
C:\subnet31.bat
C:\windows\system32\DRIVERS\dsnpfd.sys

P.S.Не знал, что AVZ атаки обнаруживает , мы об одном и том же AVZ говорим ? Возможно в будущем ...

И как переводить Ваш ответ?

[quote=drongo;139337]бронтока я не увидел, наверно засыпаю [/quote]

цитата из лога Каспера:
01.10.2007 0:06:23 Файл C:\DOCUMENTS AND SETTINGS\ALL USERS\ДОКУМЕНТЫ\Моя музыка\Моя музыка.exe, обнаружено: вирус 'Email-Worm.Win32.Brontok.q'. Пользователь: ***, компьютер:localhost.
01.10.2007 0:06:23 Обнаружены вредоносные объекты. Рекомендуется обезвредить их немедленно.
01.10.2007 0:06:23 Файл C:\DOCUMENTS AND SETTINGS\ALL USERS\ДОКУМЕНТЫ\Моя музыка\Моя музыка.exe удален.
01.10.2007 0:06:29 Файл C:\DOCUMENTS AND SETTINGS\ALL USERS\ДОКУМЕНТЫ\Моя музыка\Sync Playlists\4655F8\4655F8.exe, обнаружено: вирус 'Email-Worm.Win32.Brontok.q'. Пользователь: ***, компьютер:localhost.
01.10.2007 0:06:29 Обнаружены вредоносные объекты. Рекомендуется обезвредить их немедленно.
01.10.2007 0:06:29 Файл C:\DOCUMENTS AND SETTINGS\ALL USERS\ДОКУМЕНТЫ\Моя музыка\Sync Playlists\4655F8\4655F8.exe удален.


(Пользователя на всякий случай заменила звездочками)
Вот, что происходит. И так много раз. Правда за 2.10 и 3.10 ничего нет, но поскольку эти сообщения каспера многажды повторяются, наводит на мысль, что бронток где-то жив. Поправьте меня, если я не права

[quote=drongo;139337]Однако вот эти файлы знаете от чего :
C:\subnet31.bat
C:\windows\system32\DRIVERS\dsnpfd.sys[/quote]
Нет, не знаю. Я чайник. Надеюсь, Вы мне скажете. ;)

[quote=drongo;139337]P.S.Не знал, что AVZ атаки обнаруживает , мы об одном и том же AVZ говорим ? Возможно в будущем ...[/quote]
Цитата из лога AVZ:
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Функция kernel32.dll:GetProcAddress (408) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C80AC28->7C882FEC
Функция kernel32.dll:LoadLibraryA (578) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801D77->7C882F9C
Функция kernel32.dll:LoadLibraryExA (579) перехвачена, метод ProcAddressHijack.GetProcAddress ->7C801D4F->7C882FB0

и дальше:
Функция NtCreateSection (32) перехвачена (80564B1B->F157B3E0), перехватчик C:\WINDOWS\system32\drivers\klif.sys
Функция NtCreateSymbolicLinkObject (34) перехвачена (805A27B0->F157B030), перехватчик C:\WINDOWS\system32\drivers\klif.sys

это что значит? в прошлый раз он никого не перехватывал и не вопил.

Ну так что вы скажете?

Avz ни о каких атаках не сигнализирует ... (не умеет, пока) ...
что касается перехватов .... это перехваты от касперского ... который у вас и установлен ... так что не стоит беспокоится ...
что скажете о файлах C:\subnet31.bat
C:\windows\system32\DRIVERS\dsnpfd.sys ?

[QUOTE]что скажете о файлах C:\subnet31.bat
C:\windows\system32\DRIVERS\dsnpfd.sys ?[/QUOTE]См. ответ выше.

[QUOTE]Нет, не знаю. Я чайник. Надеюсь, Вы мне скажете.[/QUOTE]

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\subnet31.bat','');
QuarantineFile('C:\windows\system32\DRIVERS\dsnpfd.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

Есть вариант проверки чистым Cure-it, записанным на другом компьютере, с загрузкой с CD. Выполнить полную, не экспресс-проверку, не трогая этих ехе-файлов руками во время проверки.
Лог Cure-it приложить сюда.

Что-то мне думается, что папки просто расшарены на запись всем кто хочет , таким образом червь туда себя копирует- каспер находит и удаляет.

Файл с карантином прислала, лог cureit пришлю либо позже сегодня, если смогу найти комп, либо завтра вечером.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=drongo;139399]Что-то мне думается, что папки просто расшарены на запись всем кто хочет , таким образом червь туда себя копирует- каспер находит и удаляет.[/quote]
комп домашний... подключен к фтпшной сети провайдера и все. на кого тут расшаривать папки?

[B]pilot_bagira[/B] у вас мобильний телефон, mp3-player, смартфон, флешка есть??? Если да, тогда просканируйте их своим антивирусом...

dsnpfd.sys - чистый по вирустотал ...
subnet31.bat - в карантин не попал ... попробуйте поискать его через AVZ -cepвмс - поиск файлов на диске ....
если найдется пришлите по правилам ...

[B]2 Muffler[/B] сканировала. каспер утверждает, все чисто

[B]2 V_Bond[/B] AVZ subnet31.bat не нашел

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]