Вирус с модулем hldrrr.exe

Здравствуйте! Большая просьба помочь!
Вообщем вирус скачал ослом, думал патч, открыл и.........
Сначала вылетел NOD с надписью ошибка ядра, затем в файервол стала ломиться программа с названием hldrrr.exe. AVZ и другие антивирусы не запускаются, система виснит или синий экран, безопасный режим не работает, тоже синий экран. Загрузился с Live CD переименовал AVZ, запустился но базы не обновляет, проверку тоже не производит, пишет, что произошла ошибка инициализации.
Информацию удалось собрать только с помощью hijackthis

Загрузиться с Live CD удалить следующие файлы:
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe
запустить авз сделать логи ...

Загрузился с Live CD
удалил
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
остального нет
вирус востановился

[URL="http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/"]AVPTool[/URL] попробуйте скачать... если запустится - сделайте полную проверку

AVP проверить не получилось. На стадии инсталяции ошибки инициализации. С Live CD AVP что-то нашел, удалить не смог, проверял до синего экрана и перезагрузка.

[size="1"][color="#666686"][B][I]Добавлено через 31 минуту[/I][/B][/color][/size]

XoftSpySE пишет, что у меня Bagle IX Worm. Удаление в реестре строки software\firstrrrun ничего не дает.

Попробуйте так:
1) Отключите восстановление системы как написано в правилах (если еще не отключили).
2) Очистите кеш интернета.
3) Попробуйте удалить папку C:\WINDOWS\system32\drivers\down вместе со всем ее содержимым (если эта папка есть, конечно).
4) Загрузитесь с установочного диска Windows, там зайдите в Консоль Восстановления и попробуйте удалить с помощью команды Консоли del файлы, перечисленные [b]V_Bond[/b]. (Альтернатива - удалить их, загрузившись с LiveCD)

Выполнил скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\drivers\srosa. sys','');
QuarantineFile('c:\windows\system32\wintems.exe',' ');
QuarantineFile('c:\windows\system32\drivers\hldrrr .exe','');
DeleteFile('c:\windows\system32\drivers\hldrrr.exe ');
DeleteFile('c:\windows\system32\wintems.exe');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys' );
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Зараза вроде убита. Посмотрите, пожалуйста скрипты, может что осталось?

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\pcmesh\aws\aws.exe','');
DeleteService('srosa');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
DeleteFile('C:\WINDOWS\system32\drivers\hldrrr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

прошу прощения выслал без пароля

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

А как восстановить загрузку в безопасном режиме, после действия вируса такая способность пропала.
Спасибо

Да, кто нужен в карантин и не попал. Поищите aws.exe при помощи АВЗ Сервис-поиск файлов на диске и пришлите согласно приложению 2 правил.
Сделайте новый комплект логов, посмотрим ушли враги или нет.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=Alex392;195624]
А как восстановить загрузку в безопасном режиме, после действия вируса такая способность пропала.
Спасибо[/QUOTE]
В АВЗ файл--восстановление системы, Выбираете 10.Восстановление настроек загрузки в SafeMode ставите галочку, внизу нажимаете кнопку Выполнить отмеченные операции.

aws.exe не нашел.
Это как-то к делу относится

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\JNLPFile\Shell\Open\Command\ = "C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe" "%1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\javaws.exe\ =
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\javaws.exe\ = C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{3248F0A8-6813-11D6-A77B-00B0D0160030}\DisplayIcon = C:\Program Files\Java\jre1.6.0_03\\bin\javaws.exe
-- Поиск в HKEY_CURRENT_USER --
HKEY_CURRENT_USER\Software\Netscape\Netscape Navigator\User Trusted External Applications\"C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe" =
HKEY_CURRENT_USER\Software\Netscape\Netscape Navigator\Viewers\application/x-java-jnlp-file = "C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe"
-- Поиск в HKEY_CLASSES_ROOT --
HKEY_CLASSES_ROOT\JNLPFile\Shell\Open\Command\ = "C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe" "%1"

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

комплект логов вышлю позже, уезжаю

это к делу не относится ....
пофиксите
[code]
O4 - HKCU\..\Run: [PCMesh Anonymous Web Surfing] C:\Program Files\pcmesh\aws\aws.exe
[/code]

Спасибо за помощь!
Безопасный режим восстановился, вроде обошлось без жертв.
Высылаю логи.

Все чисто, проблемы решены?

Да, спасибо большое за помощь.:yahoo:

Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Удачи!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]