И снова Win32/Adware.Virtumonde + Win32/PrivacyRemover.M64

[SIZE=1]Здравствуйте. После того как девочка посмотрела "коротенький мультик" (с её слов), avast выдал несколько сообщений "обнаружен вирус" (если нужно пришлю логи). Она нажала "удалить" во всех всплывающих окнах и позвала меня.[/SIZE]
[SIZE=1]В автозагрузке обнаружил лишнее: [B]loader.exe[/B] и [B]lphc58kj0ej9r.exe[/B] - убрал галки и перезагрузился (поставил в avast "сканировать во время загрузки").[/SIZE]
[SIZE=1]Антивирус удалил какую-то мелочь и после входа в систему я увидел на рабочем столе вместо обоев сообщение: [B]"Warning! Spyware detected on your computer! Install an antivirus or spyware remover to clean your computer".[/B] Также в свойствах рабочего стола перестали отображаться вкладки "рабочий стол" и "заставка".[/SIZE]
[SIZE=1]Теперь при подключении к интернету avast выдает [B]"Win32:Agent-VGV [Wrm]" has been found in "C:\WINDOWS\System32\drivers\имя файла.sys"[/B]. Жму удалить, и компьютер начинает рассылать спам. Отключаюсь, подключаюсь заново - снова рассылает спам. После перезагрузки при первом подключении к интернету снова [B]"Win32:Agent-VGV [Wrm]" has been found in "C:\WINDOWS\System32\drivers\имя файла.sys"[/B] (причем имя файла каждый раз разное)[/SIZE]
[SIZE=1]Помогите пожалуста. Заранее спасибо.[/SIZE]

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winms16');
DeleteService('Winkp73');
DeleteService('Wingl62');
DeleteService('Winaf84');
DeleteService('Wch51');
DeleteService('ShellHWDetectionlanmanserver');
DeleteService('RSVPEventSystem');
DeleteService('RpcLocatorIISADMIN');
DeleteService('ALGRasAuto');
QuarantineFile('srv.exe','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('srv.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Wch51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winaf84.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingl62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winkp73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winms16.sys');
DeleteFile('C:\WINDOWS\system32\blphc58kj0ej9r.scr');
DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения3 правил ....
повторите логи ...

Спасибо за ответ.
Дело в том, что комп на работе, а я уже дома. завтра утром пришлю карантин и логи.
Еще вопрос. Если мне не изменяет память, там в ..\System32 кроме [B]blphc58kj0ej9r.scr[/B] есть еще blphc58kj0ej9r.exe, может добавить в скрипт [B]DeleteFile('C:\WINDOWS\system32\blphc58kj0ej9r.scr');[/B] ?

в логах такого нет ... возможно убит антивирусом ...

Спасибо за ответ.
Дело в том, что комп на работе, а я уже дома. завтра утром пришлю карантин и логи.
Еще вопрос. Если мне не изменяет память, там в ..\System32 кроме [B]blphc58kj0ej9r.scr[/B] есть еще [B]blphc58kj0ej9r.exe[/B], может добавить в скрипт
[B]DeleteFile('C:\WINDOWS\system32\blphc58kj0ej9r.exe');[/B] ?

Перестаньте Вы за ведьмами охотиться :D - это милая шутка от SYSINTERNALS: [url]http://technet.microsoft.com/en-us/sysinternals/bb897558.aspx[/url]

Спасибо за помощь. Карантин выслал:
======
Файл сохранён как 080819_020755_virus_48aa714bf0723.zip
Размер файла 14317
MD5 ba1e253196ea3a9b79ca65a43a93e205
======
Рассылка спама прекратилась, обоина исчезла, вкладки в св-вах раб.стола восстановлены...но все равно что-то не так.
В [B]"Мой компьютер"[/B] появился значок [B]"Веб-папки"[/B], появился какойто непонятный файл в папке [B]%USERPROFILE%[/B] с неприятным названием [B]S87ekhV.exe[/B]
высылаю логи

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winbg51');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winbg51.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Winbg51.sys');
BC_ImportaLL;
ExecuteSysClean;
BC_DeleteSvc('Winbg51');
BC_Activate;
RebootWindows(true);
end.
[/code]
Догрузите подозрителЬный файл в карантин по приложению 2 правил.
пришлите карантин согласно приложения3 правил ....
повторите логи ...

Каранти отправил
======
Файл сохранён как 080819_040232_virus_48aa8c2810170.zip
Размер файла 208671
MD5 9020a0ed8da4f0429b5d78094ef47b43
======
Что то не так...
Насколько я понял [B]Winbg51.sys[/B] в карантин не добавился...плюс трафик какаято гадость жрет...(до последнего сктипта с трафом было норм.)
высылаю логи

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/CODE]
А насчет траффика - Винда обновиться хочет.
Сервис Пак 3 давно уже поставить пора + еще парочку обновлений

Спасибо большое за помощь.
Все заработало..правда несовсем так как надо...но общее состояние пациента - стабильное

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\s87ekhv.exe - [B]Trojan-Dropper.Win32.Agent.vta[/B] (DrWEB: Trojan.MulDrop.18417)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Dropper.Win32.Mutant.u[/B] (DrWEB: Trojan.DownLoad.3503)[/LIST][/LIST]