Вирус который не поддается Антивирусам

ПК находится в доменной сети, когда и как появился вирус на ПК неизвестно.

Вирус делает скрытыми файлы .exe приписывая им вначале "zw" (пр. zwAVZ.exe), а вместо оригинальных .exe делает .lnk со следующей директорией %windir%\system32\RunDll32.exe shell32.dll,ShellExec_RunDLL ".\HijackThis.exe" (так выглядит путь к HijackThis.exe).

На момент появления вируса стоял сетевой Dr.Web ver. 6.0 с постоянно обновляющимися базами. В устранении проблем участвовали cureIT и AVZ, но увы...находят только последствия, а саму причину не могут.

Все логи сделаны, после удаления сетевого Dr.Web.

Уважаемый(ая) [B]xan08[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"][B]Gmer[/B][/URL]

Лог Gmer

Сохраните приведённый ниже текст в файл [b]cleanup.bat[/b] в ту же папку, где находится vv46ngvo.exe случайное имя утилиты (gmer)
[CODE]
vv46ngvo.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\khqxskaac"
vv46ngvo.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\khqxskaac"
vv46ngvo.exe -reboot
[/CODE]
И запустите сохранённый пакетный файл [b]cleanup.bat[/b].
Внимание: Компьютер перезагрузится!
Сделайте новый лог gmer.

После применения bat-ника

[URL="http://virusinfo.info/showthread.php?t=16646"][I]Инструкции и утилиты для полного удаления остатков антивирусных продуктов[/I][/URL] для удаления остатков DrWEB.

Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL] с подключенными флешками которыми пользовались на данном компьютере.

съемные носители подключить невозможно, т.к. это люди изредка приносящие на своих флешках документы на печать. Человек сидящий за этим ПК внешние носители не использует.

На данный момент замечено, что вирус стал создавать .scr файлы с именами "Порно, новая папка, ХХХ и др.", а также после лечения помимо .lnk стали создаваться папки .exe (смотреть скрин). Зеленым выделены оригинальные экзешники с припиской zw.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Ребят мб эта бяка вовсе не на системном диске живет?

Возможно самое главное забыл сказать...cureIT идентифицирует зараженные файлы, как Trojan.Packed 22267

Проблема все еще существует...отправил в Dr.Web заявку в четверг, пока молчат.

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск C:.
[code]
KillAll::

File::


Driver::


NetSvc::
khqxskaac

Folder::


Registry::

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.


Установите:
[url]http://technet.microsoft.com/ru-ru/security/bulletin/ms08-067[/url]
[url]http://technet.microsoft.com/ru-ru/security/bulletin/ms08-068[/url]
[url]http://technet.microsoft.com/ru-ru/security/bulletin/ms09-001[/url]

Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]новый Internet Explorer[/URL], а также все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]

Отчет с CFScript.txt

В реестре нужно удалить разделы:
[CODE]HKLM\SYSTEM\CurrentControlSet\Services\khqxskaac
HKLM\SYSTEM\ControlSet002\Services\khqxskaac[/CODE]

Обновления поставили?

Здравствуйте! Обновления поставил, реестр почистил. Сейчас удалю все "левые" файлы и буду наблюдать.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Решение не помогло. khqxskaac в реестре теперь нет, а файлы по прежнему создаются.

Выполните в АВЗ скрипт [URL="http://safezone.cc/threads/kak-polnostju-ustranit-problemu-svjazannuju-s-nastrojkami-avtomaticheskogo-obnovlenija.9188/"]отсюда[/URL]

- Повторите логи [B]virusinfo_syscheck.zip[/B] и [B]hijackthis.log[/B].

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Эти bat-файлы Ваши?
[CODE]acad_settings_archiv.bat
copy_personal_book_excel.bat
mk_work_dir.bat[/CODE]

Да. Наши.

[quote="Techno;1065324"]- Повторите логи virusinfo_syscheck.zip и hijackthis.log.[/quote]
Повторные логи забыли приложить к теме.