Вирус Win32/Adware.Virtumonde

При загрузке Windows появляется окошко.
[B]Ошибка при загрузке C:\windows\sistem32\gohhgpke.dll не найден указанный модуль.[/B]
Видимо его убил NOD32, при лечении. Затем запускается NOD32 и сразу находит это:
[B]вероятно модифицированный Win32/Adware.Virtumonde приложение найден в оперативной памяти. Файл может быть удален. Рекомендуется сделать копии любых критических данных перед продолжением. Никакое действие не может быть предпринято при проникновении в память. Нажмите Пропустить, чтобы продолжить и впоследствии запустить очистку всех локальных дисков. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\System32\pmkhf.dll.[/B]
При дальнейшем сканировании:
[B]Файл C:\WINDOWS\system32\pmkhf.dll инфицирован вероятно модифицированный Win32/Adware.Virtumonde приложение. Файл может быть удален. Рекомендуется сделать копии любых критических данных перед продолжением.[/B]
Дальше:
[B]Файл C:\Documents and Settings\Администратор\Local Settings\Temp\xxsrckvt.dll инфицирован вероятно модифицированный Win32/BHO.G троян. Файл может быть удален. Рекомендуется сделать копии любых критических данных перед продолжением.[/B]
Я удаляю , перезагруз. Эффекта ни какого.:embarasse

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\uunmjswq.dll','');
QuarantineFile('C:\WINDOWS\System32\rxvgpjrn.dll','');
QuarantineFile('C:\WINDOWS\System32\khfcbxw.dll','');
QuarantineFile('C:\WINDOWS\System32\gohhgpke.dll','');
QuarantineFile('C:\WINDOWS\System32\pmkhf.dll','');
QuarantineFile('C:\WINDOWS\System32\dxcjhabl.dll','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\WtSrv.exe','');
DeleteFile('C:\WINDOWS\System32\khfcbxw.dll');
DeleteFile('C:\WINDOWS\System32\rxvgpjrn.dll');
DeleteFile('C:\WINDOWS\System32\uunmjswq.dll');
DeleteFile('C:\WINDOWS\System32\pmkhf.dll');
DeleteFile('C:\WINDOWS\System32\gohhgpke.dll');
DeleteFile('C:\WINDOWS\System32\dxcjhabl.dll');
BC_ImportALL;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Поищите через AVZ - Сервис - Поиск файлов на диске такой файл: winexz32.dll.
Если найдется - добавьте в карантин.
Затем пришлите весь карантин согласно приложению 3 правил.

P.S. Скрипт и архивацию карантина выполнять при отключенном антивирусе.

Пора уже обновляться до СП2. Иначе каждую неделю будете к нам на прием ходить.

Файл winexz32.dll. не найден в карантине ничего нет, в данный момент NOD32 сканирует и пока ничего не находит.:)
Спасибо. Буду обновляться.

Сделайте для проверки повторные логи

Повторные логи

Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {204A9C4C-EECB-4B0D-80BD-02B0AA334039} - C:\WINDOWS\System32\pmkhf.dll (file missing)
O2 - BHO: (no name) - {837B45D6-BF85-457D-AABF-6D2E7815F791} - C:\WINDOWS\System32\khfcbxw.dll (file missing)
O2 - BHO: (no name) - {B7672BAF-E9A3-49B6-86B2-C81719A18A4C} - C:\WINDOWS\System32\llnxjeve.dll
O2 - BHO: (no name) - {E64F0381-0053-4842-B3E5-08F6C4A0AEB6} - C:\WINDOWS\System32\uunmjswq.dll (file missing)
O20 - Winlogon Notify: khfcbxw - khfcbxw.dll (file missing)
O20 - Winlogon Notify: pmkhf - C:\WINDOWS\
O20 - Winlogon Notify: winexz32 - winexz32.dll (file missing)
[/code]

C:\WINDOWS\System32\llnxjeve.dll поискать через AVZ. И прислать

Действительно ли столько нужно строк: pagead2.googlesyndication.com?

и выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\llnxjeve.dll','');
DeleteFile('C:\WINDOWS\System32\llnxjeve.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки повторите логи, начиная с п.10 правил.

Еще логи

в логах чисто ...
осталось разобраться с этим ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\llnxjeve.dll - [B]Trojan.Win32.BHO.zp[/B] (DrWEB: Trojan.DownLoader.36837)[/LIST][/LIST]