win32.HllM.beagle убил антивирус [часть 2]

Столкнулся с этим вирусом и нашел подобную тему на этом форуме.. [URL]http://virusinfo.info/archive/index.php/t-6278.html[/URL]

Симтомы все те же, одно отличие - у меня не грузится ни cureit, ни касперский, ни AVZ, ни с диска, ни с винчестера, ни с обычной загрузки, ни с безопасного режима (который тоже не работал пока я ручками с другого компа не скопировал в регистр SafeBoot). Во всех случаях пишет что " такая то программа не является приложением Windows"

Я абсолютно без понятия как убивать его, я его не могу найти, так как в настройках вида папки пропали параметры "Показывать скрытые файлы" О_О их просто нету.. сначала решил, что их там и не было,но на другом компе присутствуют..
Нид хелп! Заранее спасибо.

Скачайте переименованный IceSword (его exe-файл в hockey.pif )
Скачать можно отсюда:
[url]http://www.megaupload.com/?d=AUGYD37C[/url]
Запустите его, зайдите слева в меню "Processes"
Выберите:
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
И если есть windows\system32\mdelk.exe
Так вот нажмите по каждому из этих процессов правой кнопкой мыши и выберите "Terminate Process".

Потом внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы и удалите с помощью force delete (нажмите по ним правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да"):
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe

Посмотрите там, есть ли папка WINDOWS\system32\drivers\down
если есть, то force delete для папки down (папка называется down, ни в коем случае не перепутайте с папкой drivers)

Найдите в IceSworde следующие параметры из ключа системного реестра (зайдите в меню: Registry):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "drvsyskit"
параметр называется "drvsyskit", удалите его.

Найдите параметр
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "german.exe"
параметр называется "german.exe", удалите его.

Посмотрите, есть ли ключ реестра
HKEY_CURRENT_USER\Software\FirstRRRun
Если есть, удалите ключ FirstRRRun.

Посмотрите, есть ли ключи реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\srosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\s rosa (не обращайте внимание на пробел в слове "srosa" и некотрые другие пробелы в некоторых местах, их не должно быть, какой-то баг форума).
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\s rosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\s rosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\s rosa
Если есть, удалите в них ключ srosa.
Перезагрузите компьютер.
Попробуйте запустить АВЗ.

[quote=wise-wistful;212426]
Посмотрите там, есть ли папка WINDOWS\system32\drivers\down
если есть, то force delete для папки down (папка называется down, ни в коем случае не перепутайте с папкой drivers)
[/quote]

Спасибо за оперативную помошь! Папки down нету, есть папка downld, думаю это именно то, что вы имеете в виду, но для страховки всё таки хочу услышать ваше мнение)

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

Так же отмечу, что помимо параметров "drvsyskit" и "german.exe" в ключе HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run находится параметр "hldrrr.exe", его так же нужно удалить?
и то, что помимо ключей реестра ControlSet001 - 004 ключ srosa находится и в ControlSet005, думаю его так же необходимо удалить? (В ControlSet001 и в ControlSet003 ключ srosa отсутствовал)

downld - там непонятно что под непонятными именами? если так - то это именно та папка. ControlSet005 - удаляйте.

в папке downld все файлы с расширением exe, а в именах пяти-восьмизначные числа..даты создания и изменения начинаются от 4 апреля по сей день, то есть примерно тот промежуток, когда у меня перестал работать антивирус

Да это папка с врагами - удаляйте.

Огромное спасибо за быструю, профессиональную помошь! cureit и avz работают, только пришлось их переустановить.
Респект и уважуха такскзать ^_^

Да незашто проверьтесь cureit, а потом ждём логов avz и HJT.

Вот логи AVZ и HijackThis. )

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{e3a729da-eabc-df50-1842-dfd682644311}');
QuarantineFile('C:\WINDOWS\system32\mswapi.dll','');
QuarantineFile('mswshl.dll','');
QuarantineFile('svshost.exe','');
QuarantineFile('C:\WINDOWS\system32\hldrrr.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('c:\windows\system32\..\svchost.exe','');
DeleteFile('c:\windows\system32\..\svchost.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\hldrrr.exe');
DeleteFile('C:\WINDOWS\system32\mswapi.dll');
DeleteFile('C:\Documents and Settings\Роман\DoctorWeb\Quarantine\A0058593.exe');
DeleteFile('C:\Documents and Settings\Роман\DoctorWeb\Quarantine\B.tmp');
DeleteFile('C:\Documents and Settings\Роман\DoctorWeb\Quarantine\sysservice.exe');
BC_ImportDeletedList;
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=21178[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - C:\WINDOWS\system32\mswapi.dll
O4 - HKLM\..\RunServices: [Microsoft Updates] svshost.exe
O20 - Winlogon Notify: reset6 - mswshl.dll (file missing)[/CODE]
Повторите логи.