Просьба помочь с trojan.win32.bho.agz

Касперский не может удалить файл
adsnd.dll из system32
который содержит
trojan.win32.bho.agz

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
ClearHostsFile;
DelBHO('CB08D6A3-2054-4307-8212-9D2CE1921E75');
DelCLSID('47833539-D0C5-4125-9FA8-0819E2EAAC93');
DelCLSID('08B0E5C0-4FCB-11CF-AAA5-00401C608501');
QuarantineFile('C:\WINDOWS\system32\adsnd.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\kshbqmii.dat','');
DeleteFile('C:\WINDOWS\system32\Drivers\kshbqmii.dat');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\adsnd.dll');
BC_ImportAll;
BC_DeleteSvc('keljdhtt');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=16667[/url]

Вопрос - почему Касперский не может удалить такие файлы - судя по просьбам - это типичная ситуация.
Каким способом (посредством чего) блокируются удаление, КОПИРОВАНИЕ И ПЕРЕИМЕНОВАНИЕ ФАЙЛА?? Права доступа здесь ни при чём, как я понял. Я - программист и сисадмин. Если не трудно - ответьте, пожалуйста. Кстати, NTOS.EXE я удалил всё-таки сам - в момент, когда Касперский заблокировал восстановление "USERINIT=", я просто выключил питание (shutdown не помогал), после этого Касперский смог удалить NTOS.EXE. А вот adsnd.dll - не мог. Только ваш скрипт смог! Спасибо! Но хотелось бы научиться самому такие вещи делать.....

Логи повторите посмотрим все ли "чужие" ушли.

[quote]Вопрос - почему Касперский не может удалить такие файлы - судя по просьбам - это типичная ситуация.[/quote]
Там руткит, ставящийся в обход антивирусу... в следующей версии антивирус научится блокировать установку
[quote]Каким способом (посредством чего) блокируются удаление, КОПИРОВАНИЕ И ПЕРЕИМЕНОВАНИЕ ФАЙЛА??[/quote]
Руткит перехватывает определенные функция, скрывая и защищая dll-файл.
[quote]Но хотелось бы научиться самому такие вещи делать.....[/quote]
Запишитесь в группу студентов
[url]http://virusinfo.info/showthread.php?t=8062[/url]
А логи повторить тоже обязательно ;)

повторяю логи

Восстановление системы: включено
C:\System Volume Information\_restore{519DCDC8-53F2-41D2-B935-3FB6B0C0ACD9}\RP12\A0004330.dll >>> подозрение на Trojan.Win32.BHO.abo

Отключите - перезагрузитесь - затем можно включать, хотя лучше сторонние программы использовать.

В остальном все чисто.
Что из этого не нужно?

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
>> Безопасность: разрешен автоматический вход в систему

Один вирус сел из-за автозапуска с флешки.
Не подскажете, как это отключить?
Я так понимаю, что с CD - это другое?

Выполните скрипт:
[code]procedure DisableAutorun;
begin
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveAutoRun', 4);
end;

begin
DisableAutorun;
end.[/code]
Отключит все, кроме CD

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\adsnd.dll - [B]Rootkit.Win32.Podnuha.y[/B] (DrWEB: Trojan.DownLoader.39299)[*] c:\\windows\\system32\\drivers\\kshbqmii.dat - [B]Rootkit.Win32.Agent.tw[/B] (DrWEB: Trojan.NtRootKit.511)[/LIST][/LIST]