Загрузка CPU 100%, деактивация антивируса, hldrrr.exe, mdelk.exe, srosa.sys в Windows\system32\drivers

Добрый вечер, помогите пожалуйста. Запустил *.exe программы скачанной "Ослом", и вот что получилось: секунд 10 не было никакой реакции, потом компьютер начал перезагрузку и найдя все диски сообщил "CPU over temperature error" "Нажмите F1 для продолжения". Поднялся с выключенным Symantec-ом (АнтиВ), процесс hldrr.exe загрузил CPU на 100%. С другого компа полазил в Сети, поискал "что это",вразумительного мало, убил процесс; включил антивирус, вытер из Windows\system32\drivers hldrrr.exe и mdelk.exe, почистил реестр (поиск по hldrrr и mdelk) перезагрузился. Антивирус нашел srosa.sys в Windows\system32\drivers, сообщил что вытер. После этого я сделал все описанное в Правилах с 1 по 14 пункт. Что интерестно, после всего этого ZoneAlarm при попытке запуска занимается инициализацией но безуспешно)). Спасибо за потраченное время. Логи прилагаются.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('srosa');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
DeleteFile('C:\WINDOWS\system32\drivers\hldrrr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
фаерволл предется переустановить ....
логи повторите ...

После выполнения скрипта и перезагрузки hldrrr.exe появился снова, файрвол ожил.
Вопрос : правильно ли делаю. что после проверки HiJackThis, не лечу найденное им?

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\nideiect.com','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('C:\fwdrv.sys','');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\nideiect.com');
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
выполните пункт 2 правил
логи повторите ...
приложите
B_d.txt и boot_clr_B_d.log

Все сделал. Вот что получилось: после выполнения скрипта и перезагрузки, Symantec нашел в Windows\system32\drivers файл vde4odky.sys и поместил его в карантин. Dr.Web ничего не нашел. Файла boot_clr_B_d.log не обнаружил, только B_d.txt.... Логи прилагаются. Извиняюсь за большие перерывы между отчетами, но чаще нет возможности....

vde4odky.sys драйвер авз - известный фолс симантека , который вы почему-то не отключили ...
C:\fwdrv.sys пришлите согласно приложения 2 правил ...

Симантек на время выполнения скриптов был выключен. Включил чтобы проверить почту. Файл прислать не могу, АВЗ пишет : карантин с использование прямого чтения - ошибка.

Выполните пункт 2 правил (полная проверка CureIt!).

Сделано. Нашел только win32hllw Autoruner.1020 в папке карантина АВЗ.

выполните скрипт ...
[code]
begin
DeleteService('fwdrv.sys');
DeleteFile('C:\fwdrv.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...

Сделал...

В логах не увидел плохого. Какие-то проблемы остались? Безопасный режим работает?

А ведь действительно..... все работает!)))))) И безопасный режим))))) Огромное спасибо за помощь!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.yt[/B] (DrWEB: Trojan.DownLoad.3749)[*] c:\\windows\\system32\\drivers\\mdelk.exe - [B]Trojan-Downloader.Win32.Bagle.yt[/B] (DrWEB: Trojan.DownLoad.3749)[*] f:\\autorun.inf - [B]Trojan-GameThief.Win32.Nilage.bvl[/B] (DrWEB: Win32.HLLW.Autoruner.1020)[*] f:\\nideiect.com - [B]Trojan-Downloader.Win32.Bagle.yt[/B] (DrWEB: Trojan.DownLoad.3749)[/LIST][/LIST]