Kaspersky Endpoint Security ругается на вирусы на рабочей станции, но вылечить не может

Здравствуйте!

Kaspersky Security Center сообщает о вирусной активности на одной из машин (W7x64), но KES вылечить их не может. Сообщения, например, такие:

[CODE]Результат: Запрещено: not-a-virus:AdWare.JS.Agent.bg
Объект: http://asrv-a.akamaihd.net/sd/1017/1008.js//1008.js_______.tmp
[/CODE]

[CODE]Результат: Запрещено: http://lovek.info/?tid=1&subid=101000&subid1=17963401470788543718&subid2=91&subid3=100&lt=21&size=8 (проверка по базе вредоносных веб-адресов)
Объект: http://lovek.info/?tid=1&subid=101000&subid1=17963401470788543718&subid2=91&subid3=100&lt=21&size=8[/CODE]

[CODE]Результат: Не вылечено
Объект: Неизвестная программа
[/CODE]

Также самопроизвольно устанавливаются расширения в хроме с названиями типа "Bettersales".

Помогите, пожалуйста. Логи прилагаю.

Уважаемый(ая) [B]blinkfrog[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\1\AppData\Roaming\PennyBee\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
DelBHO('{e7e89e23-e9c3-4ed8-acf3-68f95e7fdf99}');
QuarantineFile('C:\Program Files (x86)\saveuraboex\Zrw9HQ6dPdBB1W.dll','');
QuarantineFile('C:\Windows\system32\drivers\{a0eab6f4-c7be-497b-981b-51b21c0122f7}Gw64.sys','');
DeleteService('{a0eab6f4-c7be-497b-981b-51b21c0122f7}Gw64');
DeleteFile('C:\Windows\system32\drivers\{a0eab6f4-c7be-497b-981b-51b21c0122f7}Gw64.sys','32');
DeleteFile('C:\Program Files (x86)\saveuraboex\Zrw9HQ6dPdBB1W.dll','32');
DeleteFile('C:\Users\1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','64');
DeleteFile('C:\Windows\Tasks\PennyBee.job','64');
DeleteFile('C:\Windows\system32\Tasks\Digital Sites','64');
DeleteFile('C:\Users\1\AppData\Roaming\PennyBee\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\system32\Tasks\PennyBee','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

Доброе утро. Скрипт выполнил, и, похоже, накосячил с карантином, моя ошибка, простите.

В общем, карантин был в папке. Запустил AVZ, и черт меня дернул сначала выполнить новое сканирование и сбор информации - вероятно, при этом карантин удаляется (хотя и нелогично это, но учту на будущее)? После попробовал выгрузить карантин, захожу в просмотр карантина - а там пусто. И в папке уже снова пусто. Или, может, надо было касперского приостановить? В Security Center в хранилищах, действительно, с этого компьютера был собран сегодня карантин, но источники - не папка карантина AVZ, а оригиналы. Там, кстати, есть файл Zrw9HQ6dPdBB1W, только не dll, а exe, если надо, пришлю. И еще несколько файлов, но с не похожими на упомянутые в скрипте названиями.

А новые логи плюс лог MBAM прилагаю. И еще вопрос, надо лог MBAM, может, было в txt сохранять?

[quote="blinkfrog;1224948"]надо лог MBAM, может, было в txt сохранять?[/quote]Конечно

Вот лог MBAM в txt.
И, похоже, эта дрянь как-то на сервер переползла. Security Center теперь для него выдает периодически события "Лечение невозможно":
[CODE]Результат: Не вылечено
Объект: Неизвестная программа[/CODE]
Как - не знаю, к серверу доступ только у меня, никаких программ туда недавно не ставил, ничего не запускал, разумеется. Вероятно, через уязвимости какие-нибудь. Похоже, пора для него тоже тему создавать. Или это он на карантин собственный ругается (по времени начало событий примерно совпадает с помещением в карантин вчера пяти программ с пациента этой темы).

[B]Нет, это лог не полного сканирования. Сейчас полное доделаю и прикреплю.[/B]

Поместите в карантин МВАМ всё, [B]кроме[/B]
[CODE]PUP.Riskware.Patcher, C:\Users\1\Desktop\anydwg.rar, , [6472bd5d6a2073c3e9331919bd4404fc],
PUP.Optional.InstallCore, C:\Users\1\Downloads\UltimateCodecsSetup (1).exe, , [1eb873a77218ac8a3b61841bd72e956b],
PUP.Optional.InstallCore, C:\Users\1\Downloads\UltimateCodecsSetup.exe, , [26b08d8d99f1fc3ab0ec7b249c6928d8],
PUP.Optional.Zona, C:\Users\1\Downloads\ZonaSetup_latest.exe, , [bb1bf1291476ad89c5d74225ed14bb45],[/CODE]

Спасибо, сделал, пока вроде все нормально - KSC молчит насчет этого компьютера. И, кстати, удалил карантин на сервере (сделал копии, если что), и KSC больше сообщений о сервере тоже не выдает - видимо, он на карантин и ругался, пытаясь периодически пролечить.

Удалите МВАМ