Каждаы раз при проверке одни и те же записи.

[SIZE=2][COLOR=#ff0000][COLOR=black]Каждый раз при лечении появляется две строки:[/COLOR]
Функция NtEnumerateKey (47) - модификация машинного кода. Метод JmpTo. jmp F73532FCYuqr61.sys
Функция NtOpenKey (77) - модификация машинного кода. Метод JmpTo. jmp F7353068Yuqr61.sys
[COLOR=black]После лечение, при проверке, они все-равно остаются.[/COLOR]

[COLOR=#000000]+ Через каждые минут десять появляется сообщение о копировании каких-то файлов и рекомендации установить какой-то "Spy..."[/COLOR]

[COLOR=#000000]Заранее благодарен за помощь.[/COLOR]
[/COLOR][/SIZE]

Выполните скрипт в AVZ
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
QuarantineFile('C:\WINDOWS\murka.dat','');
QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\Beep.sys','');
QuarantineFile('c:\windows\system32\vhosts.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\Yuqr61.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\Yuqr61.sys');
DeleteFile('c:\windows\system32\vhosts.exe');
DeleteFile('C:\WINDOWS\system32\drivers\Beep.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
DeleteFile('C:\WINDOWS\murka.dat');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O20 - AppInit_DLLs: murka.dat
O20 - Winlogon Notify: botreg - C:\WINDOWS\
[/code]
Сделайте новые логи.

C:\WINDOWS\system32\DRIVERS\tcpip.sys не прошёл по базе безопасных , тоже скопировать и прислать как полагается

P.S. Если карантин будет большой (>1Mb) выберите только файлы,упомянутые в скрипте.

@Bratez
Yuqr61.sys - его надо бы на потом оставить, сначала с остальными друзьями разобраться.

При попытке выполнения скрипта в обычном режиме появился синий экран и пошла перезагрузка. В безопасном режиме выполнилось.

Загрузил карантин. Сейчас загружу tcpip.sys.

Новые логи:

Загрузил.

Yuqr61.sys - [b]Rootkit.Win32.Agent.sc[/b]
"Обезврежен он и даже
Он острижен и посажен..." ;)

Выполните такой скрипт:
[code]
begin
ClearQuarantine;
BC_QrSvc('Beep');
BC_DeleteSvc('Beep');
BC_Activate;
RebootWindows(true);
end.[/code]
и пришлите новый карантин.

Загрузил новый карантин. Там только подозрительные файлы от принтера.
Сасибо огромное.
Меня охранники из офиса выгоняют. если я что-то не доделал, напишите, я завтра сделаю.
Еще раз спасибо. Особенно за очень быструю реакцию.
Низкий поклон.

Лечение окончено.
Можно еще пофиксить в HijackThis:
[code]
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
[/code]
и отключить все что вам не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\yuqr61.sys - [B]Rootkit.Win32.Agent.sc[/B] (DrWEB: Trojan.NtRootKit.660)[/LIST][/LIST]