В процессах висят DNTUS26.exe, uphclean.exe, FoldersizeSvc.exe

Словил вируса, причем похоже знатного. В одну минуту он убил NOD 32 и выкинул синий экран, после чего перзагрузился. Заметил что в папке c:\WINDOWS\system32\drivers\downld\ создает файлы типа 63062.exe и т.д. Скачал avz последний запускать не дает, при загрузке в безопасном режиме XP дает синий экран. Прошу подсказать что с сией заразой делать. Помимо всего прочего остался файл откуда я подцепил вирусняк если понадобиться для лечения и опознания вируса могу выслать. надеюсь на вашу помощь. Заранее спасибо!

Скачать этот AVZ [url]http://z-oleg.com/avz.exe[/url] переименовать в 123.com и сделать логи.

Подозрительный файл запакуйте с паролем "virus" и загрузите сюда [url]http://virusinfo.info/upload_virus.php?tid=23269[/url]

Файл выслал по указанной ссылке. AVZ скачал переименовал, как вы сказали, но он так и не запустился...

Пробуйте скачать отсюда тут уже переименован [url]http://depositfiles.com/ru/files/5384977[/url]

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

WTware 4.0.5 With Crack.exe-[B]Trojan-Downloader.Win32.Bagle.qe[/B]

Этот avz прошел, счас логи делаю... как сделаю прикреплю в этом сообщении...

прикрепил только логи avz.С Hijackthis та же проблема после установки не запускается...

[B]Отключите восстановление системы[/B], как написано в правилах.
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
QuarantineFile('C:\Program Files\Punto Switcher\ps.exe','');
QuarantineFile('C:\Program Files\One-click Audio Converter\OCAudioIni.exe','');
QuarantineFile('C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe','');
QuarantineFile('C:\Program Files\Mail.Ru\Agent\MAgent.exe','');
QuarantineFile('C:\Program Files\Eset\nod32kui.exe','');
QuarantineFile('C:\Program Files\Common Files\Acronis\Schedule2\schedhlp.exe','');
QuarantineFile('C:\Program Files\Cerience\RepliGo\RepliGoMon.exe','');
QuarantineFile('C:\Program Files\Acronis\TrueImage\TrueImageMonitor.exe','');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end. [/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=23269[/url] ).

Прикрепите логи: B_d.txt и boot_clr_B_d.log из папки AVZ и новые логи по правилам.

Карантин отослал логи прекрепляю...

C:\WINDOWS\system32\drivers\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.mm[/B]
C:\WINDOWS\system32\drivers\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.qe[/B]
C:\WINDOWS\system32\drivers\mdelk.exe - [B]Trojan-Downloader.Win32.Bagle.qe[/B]
А теперь, где он маскируется -
C:\Program Files\Punto Switcher\ps.exe - [B]Trojan-Downloader.Win32.Bagle.qe[/B]

Выполните скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Punto Switcher\ps.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportDeletedList;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end. [/code]

Прикрепите лог : B_d.txt и новые логи по правилам.
После лечения Punto Switcher Вам надо будет установить заново, червь его подменил (скриптом должен удалиться).

Новые логи препляю про Punto Switcher понял перед скриптом посомотрел на файл, у него даже иконка изменилась и стала похоже на ту с которой изначально был вирус...

выполните пункт 2 правил ....

[quote=V_Bond;230622]выполните пункт 2 правил ....[/quote]
Выполнил...все ок! Вирусов нет!!!:D Всем еще раз огромное спасибо за помощь!

Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Опять этот же вирус себя проявил. автоматом закрывает IE при запуска с mailAgenta и выдает ошибку dll при открытии рисунка в памяти сидя файлы uphclean и dntus26.exe :( Прикрепляю логи...

в логах ничего плохого нет ....
dntus26.exe - легитимный процесс от DameWare ....

Хм...странно...Тогда буду копать в другом направлении

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]39[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\punto switcher\\ps.exe - [B]Trojan-Downloader.Win32.Bagle.qe[/B] (DrWEB: Win32.HLLM.Beagle.220)[*] c:\\windows\\system32\\drivers\\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.qe[/B] (DrWEB: Win32.HLLM.Beagle.220)[*] c:\\windows\\system32\\drivers\\mdelk.exe - [B]Trojan-Downloader.Win32.Bagle.qe[/B] (DrWEB: Win32.HLLM.Beagle.220)[*] c:\\windows\\system32\\drivers\\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.mm[/B] (DrWEB: Win32.HLLM.Beagle.219)[*] \\virus\\wtware 4.0.5 with crack.exe - [B]Trojan-Downloader.Win32.Bagle.qe[/B] (DrWEB: Win32.HLLM.Beagle.220)[/LIST][/LIST]