Вирус в startdrv.exe и др.проблемы

Здравствуйте. Помогите пожалуйста разобраться с проблемами. Компьютер не мой, а друга.
Проблемы такие:
1. При каждой загрузке системы установленный антивирус AVG Free удаляет вирус в файле C:\WINDOWS\Temp\startdrv.exe
2. Наблюдаются частые притормаживания при включении компа, запуске браузера.
3. Иногда глючит видеокарта.
4. Иногда пропадает или не откликается панель задач.

Сделать логи AVZ невозможно. Программа запускается, обновляется, но при запуске стандартных скриптов №2 и №3 компьютер автоматически перезагружается (синих экранов нет). Антивирус и др. программы перед выполнением скрипта отключали.
Поэтому могу приложить только лог Hijackthis с компа друга. В нем видны подозрит. файлы, в т.ч. этот startdrv.exe. Компьютер не мой, ничего удалять и фиксить не стал, хочу получить совет. Подскажите пожалуйста, что можно в такой ситуации сделать.
BitAccelerator и MyWebSearch удалены, возможно остался мусор.

pingpong.pif - переименованный спец. AVZ [url]http://rapidshare.com/files/116949749/pingpong.pif.html[/url]
Сделайте логи в нем (хотя бы лог syscheck). Обновлять базы в нем не нужно (т.к. невозможно).

[quote=kps;261987]pingpong.pif - переименованный спец. AVZ [URL]http://rapidshare.com/files/116949749/pingpong.pif.html[/URL]
Сделайте логи в нем (хотя бы лог syscheck). Обновлять базы в нем не нужно (т.к. невозможно).[/quote]
Нет, к сожалению, не удалось.:(
При запуске скрипта №2 и №3 перезагрузка. При выборе пункта "Исслед. системы" перезагрузка. Посмотрите пожалуйста, может можно что-то сделать по логу хайджека????

сделайте лог [URL="http://www.gmer.net/index.php"]этой[/URL] утитилиткой

А Вы попробуйте сделать лог по скрипту N2 этой спец. версией AVZ, предварительно включив AVZGuard.

[quote=kps;261999]А Вы попробуйте сделать лог по скрипту N2 этой спец. версией AVZ, предварительно включив AVZGuard.[/quote]
Не помогло! :(
Сейчас попробую Gmer.
Кстати, комп стал часто пперезагружаться при включении инета. Пишет: осталась 1 мин, сохраните все данные, внезапно завершен процесс lsass.exe.

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

При запуске GMER тоже перезагрузка!!!!!

[size="1"][color="#666686"][B][I]Добавлено через 21 минуту[/I][/B][/color][/size]

Что еще посоветуете?

Попробуем по логу HijackThis удалить:

Если еще не отключили восстановление системы, то отключите его как написано в правилах.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url] (пингпонге):
[code]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\gdug.exe','');
QuarantineFile('C:\WINDOWS\windowsys.com','');
QuarantineFile('msnmanegers.exe','');
QuarantineFile('fixweb.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('deww.exe','');
QuarantineFile('%WINDIR%\system32\SubInACL.exe','');
QuarantineFile('C:\Program Files\Save\Save.exe','');
DeleteFile('%system32%\deww.exe');
DeleteFile('%system32%\fixweb.exe');
DeleteFile('C:\WINDOWS\System32\gdug.exe');
DeleteFile('%system32%\msnmanegers.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\windowsys.com');
DelBHO('6D7B211A-88EA-490c-BAB9-3600D8D7C503');
DelCLSID('8DAE90AD-4583-4977-9DD4-4360F7A45C74');
BC_ImportALL;
SysCleanAddFile('deww.exe'');
SysCleanAddFile('gdug.exe');
SysCleanAddFile('fixweb.exe');
SysCleanAddFile('msnmanegers.exe');
ExecuteSysClean;
BC_DeleteSvc('windowsys');
BC_DeleteSvc('system32 master');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=27353[/url] ).

Очистите временные папки и кеш браузера.
Сделайте новые логи.

Фух... Скрипт был с ошибкой (лишний апостроф), я исправил. Скрипт удался, карантин загрузил!!! Логи попробую сделать чуть позже. Зараженный комп перезагружается после подключения к интернету-60 сек ждет и перезагруз.

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

Логи AVZ по-прежнему не удаются.(использовал пинг-понг) Перезагруз.... Сейчас прикреплю хайджек.

новый лог

В системе, видимо, сидит руткит-драйвер. HijackThis такое не видит. Дальнейшее лечение только по логу HijackThis вряд ли что-то даст.
[url]http://rapidshare.com/files/132825692/hockey.pif.html[/url] - это переименованный IceSword. Проверьте, он запустится ? Вы можете его запустить так - зайти в пингпонг (AVZ) и включить AVZGuard. Потом запустить hockey.pif (IceSword) как доверенное приложение через меню AVZ.

Если он запустился, то зайдите слева в меню Process. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Зайдите в меню Kernel Module. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Зайдите в меню Startup. Нажмите на кнопку Log, сохраните лог под каким хотите именем.

Три лога запакуйте в один архив и прикрепите архив.

Получилось. вот логи. временные папки очистили. вручную удалили startdrv и exe файлы в корне диска 4 шт. инет пока не вылетает.

Хорошо, а чем удаляли, IceSword'ом?
В его логе виден драйвер руткита.
Выполните скрипт в пингпонге:
[code]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('%system32%\drivers\ip6fw.sys','');
QuarantineFile('%system32%\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\system32\ashDsp.exe','');
QuarantineFile('%System32%\Drivers\Beep.SYS','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('%system32%\drivers\runtime2.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('runtime2');
BC_DeleteSvc('runtime');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки закачайте новый карантин и посмотрите, получатся ли логи AVZ.

[quote=kps;262020]Хорошо, а чем удаляли, IceSword'ом?
[/quote]
Нет, вручную... или АВГ его убил, точно не помню. Сейчас будем пытаться сделать скрипт.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

[quote=kps;262020]Хорошо, а чем удаляли, IceSword'ом?
В его логе виден драйвер руткита.
Выполните скрипт в пингпонге:
После перезагрузки закачайте новый карантин и посмотрите, получатся ли логи AVZ.[/quote]
После запуска написанного скрипта ребут...:(
Что ж за вирус такой мерзкий??

Скрипт не выполнился? При выполнении скрипта в конце плановый ребут...

[quote=kps;262024]Скрипт не выполнился? При выполнении скрипта в конце плановый ребут...[/quote]
Не выполнился, а сразу перезагруз. После ребута опять файлы в корне диска и startdrv. Корневые файлы удаляются вручную, startdrv помещает в карантин авг. На время скрипта авг отключал, восстановление системы естественно отключено.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[B]kps[/B] огромное спасибо за Вашу помощь! Думаю, лечение этого компьютера продолжим завтра.(т.е. уже сегодня днем) Есть какие-то идеи по поводу удаления этого драйвера???

Ну тогда IceSword'ом будем удалять.
Отключите антивирус.
Запустите сначала пингпонг (AVZ), включите AVZGuard и запустите как доверенное приложение hockey.pif (IceSword)
В IceSword слева выберите меню Process.
Если там будет C:\WINDOWS\Temp\startdrv.exe, то нажмите по нему правой кнопкой мыши и выберите Terminate Pocess.
Затем внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы
C:\WINDOWS\Temp\startdrv.exe
C:\WINDOWS\system32\drivers\runtime2.sys
C:\WINDOWS\system32\drivers\runtime.sys
и если есть - сначала скопируйте их куда хотите при помощи Copy to..., чтобы прислать нам, а потом удалите с помощью force delete (нажмите по каждому из них правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").

Еще там скопируйте файлы, если есть:
C:\WINDOWS\system32\drivers\ip6fw.sys
C:\WINDOWS\system32\ashDsp.exe
C:\WINDOWS\System32\Drivers\Beep.SYS
но их не удаляйте, перезагрузите компьютер.
Скопированные файлы пришлите в архиве с паролем virus по ссылке [url]http://virusinfo.info/upload_virus.php?tid=27353[/url]

О результатах сообщите.

привет всем!
Все сделали... Файл runtime.sys не найден, runtime2.sys удален через ForceDelete. ip6fw.sys не найден, ashDsp.exe, Beep.SYS скопированы, карантин закачал. К сожалению, копии runtime2.sys в карантине нет, т.к. АВГ удалил эту копию. Не знаю, можно ли ее восстановить из карантина АВГ...
Beep.sys по Вирустоталу чистый, а вот ashDsp.exe вроде вирус [url]http://www.virustotal.com/analisis/6c8136c852a1c245df3e0ad7e707cc5f[/url]
После перезагрузки startdrv не появился, а вот в корне диска файлы снова появляются, но их можно вручную удалить. Все трояны по касперу.
Что теперь делать? Удалять ashDsp.exe?

да, удалим таким скриптом:
[code]begin
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\ashDsp.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Логи AVZ (в пингпонге) получится сделать?

После выполнения скрипта перестали создаваться трояны в корне диска. Логи попробую снять с зараженного компа.

Логи AVZ получились!