Помогите победить ацкий вирус

DRWeb находит его постоянно в файле smtpdrv.sys. Никакое лечение/удаление/помещение в карантин не помогают. Пробовал Аваст и DRWeb. Помогите, плиз, вылечить, логи прилагаю. Вирус проявляет себя так: при неактивности сети минут 5 - прекращается доступ в интернет. Приходится перелогиниваться.

Заранее спасибо

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('smtpdrv');
SetServiceStart('smtpdrv', 4);
StopService('Aeg14');
SetServiceStart('Aeg14', 4);
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Aeg14.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\Aeg14.sys');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Aeg14');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...

Сделал, высылаю файл

-----------------------

Файл сохранён как 080118_175128_virus_47913b80f113e.zip
Размер файла 38022
MD5 d7b937e482126379fcce0bed9547abb8

Где повторные логи?

Высылаю новые логи. Вирус вроде как больше не обнаруживается. Если вы это подтвердите, то буду :pray:

Чисто. Что из этого не нужно?[CODE]>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику[/CODE]

Я в этом не сильно силен, но скорее всего нужно только это:

>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

Уверены что административный доступ нужен? Тут имеется в виду административный доступ к Вашим дискам из локалки, а так это не нужно. В-общем, выделил строчку, за это отвечающую, цветом - смотрите сами... можете убрать
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
[COLOR="red"]RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);[/COLOR]
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]

Да, действительно, в таком виде административный доступ мне не нужен. Строчку, выделенную красным цветом, я убрал. Скрипт выполнил.

Всем огромное спасибо.

Если он не нужен - то строчку наоборот нужно было оставить.... :wink:

Тогда доделаем:
[code]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RebootWindows(true);
end.[/code]
Извиняюсь, видимо плохо объяснил :smile:

Готово :xmas:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]