Компьютер на работе заражает флешки [Trojan-Spy.Win32.Zbot.sbmq ]

На рабочем компьютере, то ли на флешках, то ли через интернет попало нечто, которое заблокировало работу антивируса, отключило безопасный режим, диспетчер задач, начало тормозить компьютер, и скрывать файлы и папки на флешках, если их подключить к этому компьютеру. Оставляет только ярлыки (флешки лечу успешно на другом компьютере)
После танцев с бубном, отключение почти всего из автозагрузки и использования утилит типа salitykiller от касперского, смог запустить антивирус (Аваст), в процессе сканирования он распознал и удалил кучу всего под названиями win32.kukacka, win32.salityRusKill, однако это не спасло ситуацию, но заработал диспетчер задач.

AVZ - не запускается, переименовывал файл, запускал с различными ключами -не работает. Безопасный режим не работает. Запустил только с livecd, подключился к реестру, вроде бы все просканировал успешно и выдал логи.
HijackThis - работает в самой ос без проблем.

Помогите пожалуйста! Одна надежда только на вас

Уважаемый(ая) [B]fanz[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Лог AVZ с LiveCD бесполезен.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url]. Только вместо start.exe запускайте start[B]f[/B].exe - будут выгружены все процессы, кроме системных, есть шанс, что запустится.

[b]Vvvyg[/b], к сожалению, от имени администратора не получилось запустить.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
delref E:\RECYCLER\1B37F31F.EXE
delref %SystemDrive%\DOCUME~1\USER\LOCALS~1\TEMP\EUVRJ\ & ATTRIB +S +H %CD%CKSOBBO.EXE & START C:\DOCUME~1\USER\LOCALS~1\TEMP\EUVRJ\CKSOBBO.EXE
delref E:\SAMU\SEBE.EXE
delref E:\HAVESIT\SHAKIRA.EXE
delref %SystemDrive%\DOCUMENTS AND SETTINGS\USER\XUAT.EXE
delref %SystemDrive%\DOCUMENTS AND SETTINGS\USER\YDWZRO.EXE
delref %CD%CKSOBBO.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\IDENTITIES\UMZUZO.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\APPLICATION DATA\IDENTITIES\UMZUZO.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\FZDKT\REWFXVC.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\TEMP\FZDKT\REWFXVC.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\USER\РАБОЧИЙ СТОЛ\НОВАЯ ПАПКА (2)\IKJT.PIF
delall %SystemDrive%\DOCUMENTS AND SETTINGS\USER\РАБОЧИЙ СТОЛ\НОВАЯ ПАПКА (2)\IKJT.PIF
delref RECYCLER\1B37F31F.EXE
delref E:\CAUWR.PIF
delref E:\HSFCW.PIF
delref E:\AUTORUN.EXE
delref E:\DLPH.EXE
delref F:\EAFRH.PIF
delref E:\XUSCR.PIF
delref E:\LVMWK.EXE
delref E:\TKDDP.PIF
delref E:\WFORH.EXE
delref %SystemRoot%\EXPLORER.EXE %CD%АНТИВИРУС & ATTRIB -S -H %CD%CKSOBBO.EXE & XCOPY
regt 12
regt 35
regt 20
regt 18
deltmp
czoo
restart[/code]Компьютер перезагрузится.
Опять-таки пробуйте запустить startf.exe при неудаче.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Пробуйте потом лог AVZ сделать.

[b]Vvvyg[/b], zip архив отправил.
AVZ запустился, выполнил нужные скрипты.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe System Incorporated','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Bnzuzv','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Umzuzo','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Screen Saver Pro 3.1','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Znzuzt','command');
ExecuteRepair(10);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сообщите, что с проблемами, проверьте безопасный режим.

[b]Vvvyg[/b], Спасибо большое! все работает, в том числе и безопасный режим.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \rewfxvc.exe._b20270521853727d09fd720ea0d92159e5fd7bc0 - [B]Trojan-Spy.Win32.Zbot.sbmq[/B] ( DrWEB: BackDoor.Andromeda.404, BitDefender: Gen:Variant.Symmi.46924, AVAST4: Win32:Malware-gen )[*] \umzuzo.exe._bba8a423ff227e5a969abeb639305a66d8a1d353 - [B]Trojan-Spy.Win32.Zbot.sbmq[/B] ( DrWEB: BackDoor.Andromeda.404, BitDefender: Gen:Variant.Symmi.46924, AVAST4: Win32:Malware-gen )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]