атаковал неизвестный вирус

Здравствуйте! опять к вам за помощью!

при работе в интернете антивирус стал сигнализировать о вирусах в sys32, комп стал перезагружаться и не мог включиться. удалось загрузиться только в режиме последней удачной загрузки.
логи сделаны. посмотрите пожалуйста!

[quote=Kondor;247820]Здравствуйте! опять к вам за помощью!

при работе в интернете антивирус стал сигнализировать о вирусах в sys32, комп стал перезагружаться и не мог включиться. удалось загрузиться только в режиме последней удачной загрузки.
логи сделаны. посмотрите пожалуйста![/quote]-выполнить в AVZ
[CODE]begin
QuarantineFile('C:\WINDOWS\system32\dllgh8jkd1q7.exe','');
QuarantineFile('C:\WINDOWS\system32\dllgh8jkd1q6.exe','');
QuarantineFile('c:\nwndim.exe','');
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\iexplorer.exe','');
QuarantineFile('C:\WINDOWS\system32\blphc1v3j0ee5v.scr','');
QuarantineFile('C:\WINDOWS\system32\lphc1v3j0ee5v.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\beeper.sys','');
QuarantineFile('C:\WINDOWS\services.exe','');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\DRIVERS\beeper.sys');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\WINDOWS\iexplorer.exe');
end.[/CODE]
...пришлите карантин согласно приложению 3 правил, по ссылке [url]http://virusinfo.info/upload_virus.php?tid=25468[/url]
-и повторите логи ещё раз

Скрипт выполнен
комп правда не перезагрузился сам. карантин выслан, но он вроде чист

при перезагрузке аваст находит но удалить не может
Sign of "VBS:Malware-gen" has been found in "C:\Documents and Settings\kondor\Local Settings\Temp\.tt2.tmp.vbs" file.

в свойствах экрана постоянно блокируется закладка с изменением фона рабочего стола, фон становится синим. если при помощи avz его разблокировать то видно что в качестве фона стоит какой-то файл phc1v3j0ee5v

-значит придётся так[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_QrFile('C:\WINDOWS\System32\Drivers\Winvo66.sys');
BC_QrFile('c:\windows\system32\lphc1v3j0ee5v.exe');
BC_QrFile('c:\nwndim.exe');
BC_QrFile('C:\WINDOWS\system32\blphc1v3j0ee5v.scr');
BC_QrFile('C:\WINDOWS\iexplorer.exe');
BC_QrFile('C:\WINDOWS\services.exe');
BC_QrFile('C:\WINDOWS\system32\DRIVERS\beeper.sys');
BC_QrFile('C:\WINDOWS\services.exe');
BC_DeleteFile('c:\windows\system32\lphc1v3j0ee5v.exe');
BC_DeleteFile('c:\nwndim.exe');
BC_DeleteFile('C:\WINDOWS\system32\blphc1v3j0ee5v.scr');
BC_DeleteFile('C:\WINDOWS\iexplorer.exe');
BC_DeleteFile('C:\WINDOWS\services.exe');
BC_DeleteFile('WinCtrl32.dll');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\beeper.sys');
BC_DeleteFile('C:\WINDOWS\services.exe');
DeleteFileMask('C:\Documents and Settings\kondor\Local Settings\Temp', '*.*', true);
DeleteDirectory('C:\Documents and Settings\kondor\Local Settings\Temp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

скрипт выполнен, avz вроде ничего не находит, но все равно в системе что-то еще осталось. При перезагрузке аваст сигнализирует Sign of "Win32:Agent-VGV [Wrm]" has been found in "C:\WINDOWS\System32\drivers\Winng15.sys" file.
удаляю, при следующей перезагрузке там же другой файл не нравится авасту
Sign of "Win32:Agent-VGV [Wrm]" has been found in "C:\WINDOWS\System32\drivers\Winib56.sys" file.

и все ли чисто в логе hijackthis?

аваст при сканировании папки sys32 упорно что-то находит типа
Sign of "Win32:Trojan-gen {Other}" has been found in "C:\WINDOWS\system32\WinCtrl32.dll" file.
Sign of "Win32:Trojan-gen {Other}" has been found in "C:\WINDOWS\system32\WinCtrl32.dl_" file.

-[URL="http://virusinfo.info/showthread.php?t=4491"]пофиксить в HijackThis[/URL] [code]O1 - Hosts:
O1 - Hosts:
O1 - Hosts: 404 Not Found
O1 - Hosts:
O1 - Hosts: Not Found
O1 - Hosts: The requested URL /spm/hosts.txt was not found on this server.
O1 - Hosts:
O1 - Hosts: Apache/2.2 Server at 206.51.238.230 Port 80
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll[/code]-[URL="http://virusinfo.info/showthread.php?t=7239"]выполнить в AVZ[/URL][code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearHostsFile;
StopService('Beep');
StopService('Winvo66');
BC_DeleteFile('C:\WINDOWS\iexplorer.exe');
BC_DeleteFile('C:\WINDOWS\services.exe');
TerminateProcessByName('C:\WINDOWS\system32\WinCtrl32.dll');
BC_DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Winvo66.sys');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\beeper.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]...после перезагрузки, ещё раз, сделайте свежие логи...
-и пришлите через форму [URL]http://virusinfo.info/upload_virus.php?tid=25468[/URL] карантин, который получился после [URL="http://virusinfo.info/showthread.php?t=25468&#5"]топика #5[/URL]

спасибо!
скрипт выполнен, архив выслан
новые логи прилагаю

вопрос
в Хиджаке эти процессы не опасны?
O4 - HKLM\..\Run: [runservices] C:\WINDOWS\services.exe
O4 - HKCU\..\Run: [iexplorer] C:\WINDOWS\iexplorer.exe --system

-[URL="http://virusinfo.info/showthread.php?t=4491"]пофиксить в HijackThis[/URL] [code]O4 - HKLM\..\Run: [runservices] C:\WINDOWS\services.exe
O4 - HKCU\..\Run: [iexplorer] C:\WINDOWS\iexplorer.exe --system[/code]-[URL="http://virusinfo.info/showthread.php?t=7239"]выполнить в AVZ[/URL][code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyDel('HKEY_CURRENT_USER, Software\Microsoft\Windows\CurrentVersion\Run, iexplorer',' ');
RegKeyDel('HKEY_LOCAL_MACHINE, Software\Microsoft\Windows\CurrentVersion\Run, runservices',' ');
RegKeyDel('HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WinCtrl32, DLLName',' ');
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\beeper.sys');
BC_DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_DeleteSvc('Winng15');
BC_DeleteSvc('Winvo66');
BC_DeleteSvc('Beep');
BC_Activate;
RebootWindows(true);
end.[/code]...после перезагрузки, ещё раз, сделайте свежие логи...

новые логи
вроде все чисто

-ну, в общем то, чисто... осталось [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксить в HijackThis[/URL] [code]O17 - HKLM\System\CCS\Services\Tcpip\..\{A8E84DFB-4ABD-424D-8479-AFE9B3846894}: Domain = 172.30.30.30
O17 - HKLM\System\CCS\Services\Tcpip\..\{A8E84DFB-4ABD-424D-8479-AFE9B3846894}: NameServer = 172.20.20.20,172.30.30.30
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)[/code]...но это уже не столь критично.
-после фикса, может понадобиться переподключиться к сети

спасибо!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]