install_temp_318 и прочие гадости...

Добрый день!

К сожалению не могу выполнить правил, т.к. при выполнении скрипта AVZ лечению/карантину и сбору сведений возникает stop-ошибка и XP перезагружается... Сбой происходит явно на стадии мониторинга перехватчиков функций API (в окне AVZ успеваю заметить их обнаружение). Как мне собрать необходимую инфу для Вашей помощи?

История вопроса. Началось все с невозможности запуска ряда программ, которые ранее исправно выполнялись (в их числе XoftSpySE). Подозревая неладное, решил запустить AVZ - но не обнаружил exe-шника:O. При распаковке архива дистрибутива AVZ исполняемый файл также (как бы) не извлекается :?. Ну этот момент я обошел, переименовав exe на pif и запустив AVZ с внешнего носителя... А вот что делать дальше, если логи не сделать?
Ну и собственно сабж, т.е. практически в каждой папке образуется пустой подкаталог install_temp_318 и есть левый траффик инета....

С внешнего носителя приколы и должны быть. А что переименованный с жёсткого диска не запускается или хотя бы из безопасногоо режима?

Не знаю - не знаю...
В винта AVZ запустился, но XP уложил на том же самом месте...
Сейчас собираю логи в бесопасном режиме, только есть ли в этом прок?

А хиджак тоже лог не делает?

Хиджак в пакетной версии делает...
Сейчас доделаю логи AVZ в безопасном и всё вместе залью в пост на Ваш суд:)

Посмотрите плз логи...
Хиджак из-под normal mode
AVZ из-под safe mode

Отключите восстановление системы. Очистите планировщик задач Task Scheduler.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wupdsvc1.exe','');
QuarantineFile('C:\WINDOWS\system32\aVmrJSTs.exe','');
QuarantineFile('C:\WINDOWS\system32\t60O6tws.exe','');
QuarantineFile('c:\windows\system32\mslz32.dll','');
QuarantineFile('C:\WINDOWS\watznew.exe','');
QuarantineFile('C:\WINDOWS\system32\undname.exe','');
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
SetServiceStart('alcom', 4);
StopService('alcom');
QuarantineFile('Ebdl43.sys','');
QuarantineFile('C:\WINDOWS\system32\alcomt.dll','');
DeleteFile('C:\WINDOWS\system32\alcomt.dll');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
DeleteFile('C:\WINDOWS\system32\undname.exe');
DeleteFile('C:\WINDOWS\system32\t60O6tws.exe');
DeleteFile('C:\WINDOWS\system32\aVmrJSTs.exe');
DeleteFile('C:\WINDOWS\system32\wupdsvc1.exe');
DeleteService('alcom');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=18340[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\undname.exe,
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll
[/CODE]

[b]Отключите восстановление системы![/b]
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\undname.exe,
O21 - SSODL: mslz32.dll - {582D4513-C2AF-5811-10E5-8679728F6EA7} - c:\windows\system32\mslz32.dll
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('alcom');
SetServiceStart('alcom', 4);
StopService('Ebdl43');
SetServiceStart('Ebdl43', 4);
QuarantineFile('C:\WINDOWS\system32\wupdsvc1.exe','');
QuarantineFile('c:\windows\system32\mspe.exe','');
QuarantineFile('C:\WINDOWS\system32\aVmrJSTs.exe','');
QuarantineFile('C:\WINDOWS\system32\t60O6tws.exe','');
QuarantineFile('c:\windows\system32\mslz32.dll','');
QuarantineFile('C:\WINDOWS\watznew.exe','');
QuarantineFile('C:\WINDOWS\system32\undname.exe','');
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\WINDOWS\system32\alcom.sys','');
QuarantineFile('C:\WINDOWS\system32\alcomt.dll','');
DeleteFile('C:\WINDOWS\system32\alcomt.dll');
DeleteFile('C:\WINDOWS\system32\alcom.sys');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
DeleteFile('C:\WINDOWS\system32\undname.exe');
DeleteFile('c:\windows\system32\mslz32.dll');
DeleteFile('C:\WINDOWS\system32\t60O6tws.exe');
DeleteFile('C:\WINDOWS\system32\aVmrJSTs.exe');
DeleteFile('c:\windows\system32\mspe.exe');
DeleteFileMask('c:\windows\tasks\', 'at*.job',true);
BC_ImportDeletedList;
BC_DeleteSvc('alcom');
BC_DeleteSvc('Ebdl43');
BC_DeleteFile('C:\WINDOWS\system32\drivers\Ebdl43.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=18340[/url]).
Сделайте новые логи.

Спасибо helperам, по-моему всё чисто :D.
Новые логи прилагаю....

Да, все прошло удачно.

Что вот это за файлики у вас нехорошие? -
[quote]C:\Documents and Settings\svi\Мои документы\Distrib\MapInfo\shkm7801.zip/{ZIP}/start.exe >>>>> Trojan-Downloader.Win32.Small.gl
C:\Documents and Settings\svi\Мои документы\MyDoc\Иванов\Архив\shkm7801.zip/{ZIP}/start.exe >>>>> Trojan-Downloader.Win32.Small.gl
[/quote]

Рекомендуется отключить все ненужное из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule ()
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]

Это кряк к ГИС MapInfo в двух экземплярах - снесу....
Еще раз спасибо за помощь и советы..;)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]30[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\alcom.sys - [B]Rootkit.Win32.Agent.abc[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\windows\\system32\\alcomt.dll - [B]Trojan-Spy.Win32.Goldun.wp[/B] (DrWEB: Trojan.PWS.GoldSpy)[*] c:\\windows\\system32\\mslz32.dll - [B]Worm.Win32.Feebs.nj[/B] (DrWEB: Win32.HLLM.Graz)[*] c:\\windows\\system32\\mspe.exe - [B]Worm.Win32.Feebs.nj[/B] (DrWEB: Win32.HLLM.Graz)[*] c:\\windows\\system32\\svshost.dll - [B]Backdoor.Win32.Small.cvo[/B] (DrWEB: BackDoor.Dld.1179)[*] c:\\windows\\system32\\wupdsvc1.exe - [B]Trojan.Win32.Pakes.bml[/B] (DrWEB: BackDoor.Bulknet.83)[/LIST][/LIST]