Заблокирован диск и сайт DrWeb

Добрый день!
Обнаружил что не могу попасть на диск "D" пишет отказано в доступе, а также стали медленно работать браузеры и не открывается сайт Доктор Веб. Стоит Касперский корпоративный 6.0, проверил Cureit нашел 3-х зловредов, но ситуация не изменилась, сменил букву диска с "D" на "I", не помогло, зашел под локальной записью "Администратор" содержимое диска доступно, сайт DrWeb.com заблокирован, создал новую учетную запись с административными правами, таже песня, диск не открывается.

Уважаемый(ая) [B]lkoff[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('%system32%\Qzwi4Nm.exe','');
DeleteFile('%system32%\Qzwi4Nm.exe','32');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
ExecuteRepair(20);
RebootWindows(false);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Полученный архив [b]quarantine.zip[/b] из папки с распакованной утилитой AVZ отправьте согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis[/URL] (некоторые строки могут отсутствовать).

[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\Qzwi4Nm.exe,
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O3 - Toolbar: Delta Toolbar - {82E1477C-B154-48D3-9891-33D83C26BCD3} - C:\Program Files\Delta\delta\1.8.10.0\deltaTlbr.dll
[/CODE]

[LIST=1][*]Загрузите GMER по одной из указанных ссылок:
[B][URL="http://www.gmer.net/download.php"]Gmer со случайным именем[/URL][/B] [I](рекомендуется)[/I], [B][URL="http://www.gmer.net/gmer.zip"]Gmer в zip-архиве[/URL][/B] [I](перед применением распаковать в отдельную папку)[/I][*][B]Временно[/B] отключите драйверы эмуляторов дисков.[*]Запустите программу (пользователям [I]Vista/Seven[/I] запускать от имени [B]Администратора[/B] по правой кнопке мыши).[*]Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите [B]No[/B].[*]После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

[LIST][*][B][COLOR="Blue"]Sections[/COLOR][/B][*][B][COLOR="Blue"]IAT/EAT[/COLOR][/B][*][B][COLOR="Blue"]Show all[/COLOR][/B][/LIST][*]Из всех дисков оставьте отмеченным только системный диск (обычно [B]C:\[/B])[*]Нажмите на кнопку [B]Scan[/B] и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите [B]OK[/B].[*]После окончания проверки сохраните его лог (нажмите на кнопку [B]Save[/B]) и вложите в сообщение.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Лог gmer, при обычном запуске gmer вылетал с ошибкой, после запуска от имени "Администратора" сканирование пошло. Файл карантина пуст.

Сохраните приведённый ниже текст в файл [b]cleanup.bat[/b] в ту же папку, где находится w86zmxvd.exe случайное имя утилиты (gmer)
[CODE]
w86zmxvd.exe -del file "C:\Documents and Settings\leav.K-MIMAKI\Local Settings\Temp\etilqs_0ZPMphM1XPjP5gO"
w86zmxvd.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\wjvogxdgh"
w86zmxvd.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\wjvogxdgh"
w86zmxvd.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\wjvogxdgh"
w86zmxvd.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\wjvogxdgh"
w86zmxvd.exe -reboot
[/CODE]
И запустите сохранённый пакетный файл [b]cleanup.bat[/b].
Внимание: Компьютер перезагрузится!

Сделайте новый лог gmer.

Запуск GMER опять был с проблемами, сначала вывалилась ошибка приложения с предложением отправить отчет в Майкрософт, потом при запуске от имени Администратора вылетел синий экран, после перезагрузки запуск под пользователем опять ошибка приложения, но под админом пошло.

Скачайте [url="http://malwarebytes.org/mbam-download-exe-random.php"]Malwarebytes' Anti-Malware[/url] или с [URL="http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe"]зеркала[/URL], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы, выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2013-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=53070"]руководстве[/URL]

Лог Malware

В MBAM удалите все [B]кроме[/B]:

[CODE]
Обнаруженные файлы:
C:\Documents and Settings\LEAV\Рабочий стол\adobe.cs5.products.activator.fixed-mpt.exe (CrackTool.Agent) -> Действие не было предпринято.
C:\Documents and Settings\leav.K-MIMAKI\Рабочий стол\adobe.cs5.products.activator.fixed-mpt.exe (CrackTool.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Администратор.GMI\Рабочий стол\SAMInside2.6.2.0\SAMInside2.6.2.0\SAMInside.exe (PUP.SAMInside) -> Действие не было предпринято.
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

Новый лог Malware

Это осталось:

[CODE]
Обнаруженные ключи в реестре: 10
HKCR\AppID\{C26644C4-2A12-4CA6-8F2E-0EDE6CF018F3} (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCR\CLSID\{261DD098-8A3E-43D4-87AA-63324FA897D8} (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCR\TypeLib\{39CB8175-E224-4446-8746-00566302DF8D} (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCR\esrv.deltaESrvc.1 (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCR\esrv.deltaESrvc (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCR\CLSID\{82E1477C-B154-48D3-9891-33D83C26BCD3} (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCR\delta.deltadskBnd.1 (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCR\delta.deltadskBnd (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{82E1477C-B154-48D3-9891-33D83C26BCD3} (PUP.Optional.Delta.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{82E1477C-B154-48D3-9891-33D83C26BCD3} (PUP.Optional.Delta.A) -> Действие не было предпринято.
[/CODE]

Лог Malware, все чисто, но диск "I" по прежнему заблокирован.

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Повторные логи

Закройте все программы

Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
DeleteService('vsdatant');
ExecuteSysClean;
ExecuteRepair(6);
RebootWindows(false);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера.

Сделайте новые логи AVZ

Новые логи

Этот файл знаком?

[QUOTE]C:\Documents and Settings\leav.K-MIMAKI\Главное меню\Программы\Автозагрузка\Start.bat[/QUOTE]

Сделайте логи RSIT.

[QUOTE=mike 1;1103298]Этот файл знаком?
[/QUOTE]
Да, это запуск эмулятора "SentEmul"
Логи RSIT.

Деинсталлируйте:

[CODE]
BitGuard
Yontoo 2.04
[/CODE]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[QUOTE=mike 1;1103454]Деинсталлируйте:

[CODE]
BitGuard
Yontoo 2.04
[/CODE]
[/QUOTE]
BitGuard ругается что не может найти файл деинсталяции, Yontoo удалил, отчет прикрепил.