И снова о "install_temp_318"

Проблема появилась ещё 21-го февраля. С теми же симптомами.
Почитав, что тут пишут об этом, я пробовал выполнять скрипты, которые рекомендовались для других пользователей.
Так как один из них выполнился с ошибкой, я подумал, что они пишутся индивидуально и поэтому высылаю вам свои логи.
Посмотрите, пожалуйста.

[quote=Yar;192939] я подумал, что они пишутся индивидуально [/quote]
Это вы правильно подумали ;)
Логи сейчас гляну.

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('smtpdrv', 4);
QuarantineFile('D:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('D:\System Volume Information\_restore{C99F6BF9-DC9E-4739-9355-41EABFFAECC3}\RP5\A0031908.exe:ext.exe:$DATA','');
QuarantineFile('d:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('D:\WINDOWS\system32\clean.cmd','');
QuarantineFile('D:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('D:\Temp\winlogon.exe','');
QuarantineFile('D:\WINDOWS\system32\Drivers\uphcleanhlp.sys','');
QuarantineFile('D:\WINDOWS\system32\fprot.sys','');
QuarantineFile('D:\WINDOWS\System32\mplink.dll','');
QuarantineFile('d:\windows\system32\ccevtsvc.exe','');
DeleteFile('d:\windows\system32\ccevtsvc.exe');
DeleteFile('D:\WINDOWS\System32\mplink.dll');
DeleteFile('D:\Temp\winlogon.exe');
DeleteFile('D:\WINDOWS\Temp\startdrv.exe');
DeleteFile('d:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('D:\System Volume Information\_restore{C99F6BF9-DC9E-4739-9355-41EABFFAECC3}\RP5\A0031908.exe:ext.exe:$DATA');
DeleteFile('D:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
BC_ImportALL;
BC_DeleteSvc('smtpdrv');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=18617[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[b]Bratez[/b], наши пришли раньше;)

Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: mplink - D:\WINDOWS\SYSTEM32\mplink.dll
O4 - HKCU\..\Run: [Firewall auto setup] D:\Temp\winlogon.exe
O4 - HKLM\..\Run: [startdrv] D:\WINDOWS\Temp\startdrv.exe
F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe[/CODE]

Повторите логи

O4 - HKCU\..\Run: [Firewall auto setup] D:\Temp\winlogon.exe
O4 - HKLM\..\Run: [startdrv] D:\WINDOWS\Temp\startdrv.exe

этих строк в [B]HijackThis[/B] не было.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('fprot');
SetServiceStart('fprot', 4);
DeleteService('fprot');
DeleteFile('D:\WINDOWS\system32\fprot.sys');
DeleteFile('D:\System Volume Information\_restore{C99F6BF9-DC9E-4739-9355-41EABFFAECC3}\RP5\A0035314.exe:ext.exe:$DATA');
BC_DeleteSvc('fprot');
BC_DeleteSvc('FCI');
BC_DeleteSvc('ZZZsvc_lich');
BC_DeleteSvc('lich');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...

Выполнил

D:\WINDOWS\system32\clean.cmd- сами писали ? если нет, то прислать конечно.

Чтобы уменьшить шанс заражения, советую на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты ( firefox [url]http://virusinfo.info/showthread.php?p=121290#post121290[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Возможно это установлено мне админом. У него был хитрый установочный диск, который сам грузит все необходимые проги вместе с виндой.

Это очистка временных файлов.
В любом случе :не нужно в тему прикреплять, за это нарушение дают ;) Есть ссылка вверху темы и только так.

Спасибо. Папка "install_temp_318" больше не плодится.
Теперь виден avz.exe, раньше приходилось переименовывать расширение на com.
А cureit.exe теперь запускается в обычном режиме винды.
Странно, что Symantec AntiVirus, который у меня стоит не пофиксил эту заразу даже спустя 4 суток после заражения, хотя я обновил его базы.
Интересно узнать, что это было?