большой файл в системной папке..

Здравствуйте. Вдруг обнаружил, что на системном диске катастрофически не хватает места. Проверка антивирусами ничего не дала. Начал искать, что съедает пространство и обнаружил в паке Windows\Sistem32\ файл с подозрительным именем «698697763b.sys» объемом примерно 4,3 Гига, и это при том, что сама папка с Windows занимает 7,150 Гиг (вместе с этим файлом). Просто удалить не решаюсь, т.к. во-первых - расширение sys, во вторых – файл скрытый и в третьих – он постоянно обновляется (практически каждую минуту меняется время создания). При отключении от сети обновляться перестает. Посмотрел его просмотрщиком: в появившейся абракодабре ясно просматриваются ссылки Интернет сайтов и цитаты из их содержимого.

логи прилагаю.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wmfhotfix.dll','');
QuarantineFile('C:\WINDOWS\system32\AcSignExtResv.exe','');
QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
BC_ImportALL;
ExecuteSysClean;
DelBHO('{35A6E2B1-27A9-47D2-913C-559E1EF1D034}');
BC_QrSvc('Brouhcoercib');
BC_DeleteSvc('Brouhcoercib');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=22135[/url]).

карантин выслал.
логи прилагаю.

Карантин пустой. Выполните скрипт в безопасном режиме:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wmfhotfix.dll','');
QuarantineFile('C:\WINDOWS\system32\AcSignExtResv.exe','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин по правилам.
При формировании архива карантина антивирус отключите.

отослал карантин, но при формировании всё таки забыл выключить др. веб. Повторить архивацию без др. веба и прислать вам карантин повторно?

AcSignExtResv.exe - [b]Backdoor.Win32.IRCBot.bmm[/b]
Для удаления выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\AcSignExtResv.exe');
BC_ImportDeletedList;
BC_DeleteSvc('NetmanImapiService');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Интересует файл C:\WINDOWS\system32\wmfhotfix.dll - попробуйте добыть его вручную.

При выполнении скрипта (при выключении) комп завис. Принудительная перезагрузка. При запуске выдал сообщение "не могу создать ps.log"

Вышеуказанный файл прилагаю.

Этот файл чистый. Уберите его из сообщения.

Удалите ваш 4gb .sys файл, перезагрузитесь и проверьте, появляется он снова или нет. Сделайте еще раз логи.

1. Убрать файл из сообщения не получается: пишет - нет прав.

2. Что за файл 4gb .sys? Поиском в компе не обнаружил.

Только через час, с помощью сына, понял, что имя указанного Вами файла, это его размер. Все выполнил. Файл удалил. При перезагрузке файл 698697763b.sys не появился.

Логи прилагаю.

[quote]1. Убрать файл из сообщения не получается: пишет - нет прав.[/quote]
Удаляйте через мой кабинет--разное--вложения. выбираете wmfhotfix.zip и удаляете.

О.К. удалил.

Так, что с моим файлом? Что это было?

В логах все нормально.

Я думаю, тот большой файл создавала программа Target Marketing Agency - это что-то рекламно-шпионское (удалена первым скриптом).

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\acsignextresv.exe - [B]Backdoor.Win32.IRCBot.bmm[/B] (DrWEB: BackDoor.IRC.Nite)[/LIST][/LIST]