Help! Trolan-Proxy.Win32.Small.mu

Вчера поймал этого троянчика, не получается ничего сделать. Касперский не лечит и страшно тормозит. В итоге удаляет его, но после ребута он появляется снова. Если не успеть за несколько секунд залезть в C:\WINDOWS\file.bat и удалить его, то комп виснет.. после удаления вручную появляется возможность даже зайти в интернет, до этого же попытки были тщетны. Установить DrWeb не удалось, выполнил проверку касперским.
Спасибо.

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twext.exe,
O2 - BHO: Rmn plugin - {D21D9540-6415-4288-BDD0-4453088D9D38} - pns32.dll (file missing)
O4 - HKLM\..\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe
O20 - Winlogon Notify: pcixmm - pcixmm.dll (file missing)
O20 - Winlogon Notify: subsys - subsys.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('pns32.dll','');
QuarantineFile('subsys.dll','');
QuarantineFile('pcixmm.dll','');
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\srtqnsqt.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
QuarantineFile('C:\WINDOWS\services.exe','');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\drivers\oreans32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\srtqnsqt.sys');
DeleteFile('C:\WINDOWS\system32\twext.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=30779[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Я сейчас вообще без антивируса, Касперского отключил совсем. Он не даёт даже папку открыть. Хотя и не находит больше тот вирус. А я его нахожу вручную по прежнему. В общем что-то не так явно. Высылаю то, что вы просили. Карантин тоже отправил

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twext.exe,
O4 - HKLM\..\Run: [BLGELOLO] %systemroot%\BLGELOLO.exe
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\ssotqsqr.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\ssotqsqr.sys');
DeleteFile('C:\WINDOWS\system32\twext.exe');
DeleteFile('C:\WINDOWS\BLGELOLO.exe');
BC_ImportALL;
BC_DeleteSvc('ssotqsqr');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Пришлите новый карантин согласно приложению 2 правил
(если будет не пуст).

Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Долго выполняется сбор данных о карантине, около 2-х часов.

Ничего плохого.
Удалите Bonjour - в Чаво есть руководство.
Установите Сервис Пак 3, возможно потребуется активация системы.

Вы большие молодцы. Даже Касперский теперь не грузит систему как раньше:) На WM было немножко денюшек, хотел вас поблагодарить..а кипер ругается(((
[quote]На вашем компьютере обнаружены потенциально опасные программы (AdWare, SpyWare и т.д.). Функционирование кипера невозможно. Удалите опасные программы или используйте другие версии.[/quote]
Как с этим бороться? я таких программ не ставил(

Кипер переустановите.

Ставил даже ранние версии - не помогает.

[QUOTE=S_n_a_k_e;288417]Ставил даже ранние версии - не помогает.[/QUOTE]Проверьте систему антивирусом со свежими баэами. Еще есть такая дурноватая прога, но кое-что находит: Malwarebytes Antimalware.

Да проверял же сегодня. Просто видите ли в чём дело.. получается это софт какой-то вредный установлен. Я даже о таких программах ничего не слышал. Попробую тем, что вы предложили.
Зы. Запустил, посмотрим что получится:)

вот лог Malwarebytes Antimalware.

Чего-то она понаписала там,выполните проверку CureIT...

Проверку CureITом выполнял вчера. Мне посоветовал Rene-gad эту программу, вот я выложил лог.

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]QuarantineFile('C:\WINDOWS\system32\WinNt32.dll
QuarantineFile('C:\WINDOWS\system32\WinNt32.bak
QuarantineFile('C:\WINDOWS\system32\WinNt32.dl_
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине ..avz\quarantine
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\twain_32\local.ds','');
QuarantineFile('C:\WINDOWS\system32\twain_32\user.ds','');
QuarantineFile('C:\WINDOWS\system32\basebjl32.dll','');
QuarantineFile('C:\WINDOWS\system32\basexmt32.dll','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
QuarantineFile('C:\WINDOWS\system32\baseopbl32.dll','');
QuarantineFile('C:\WINDOWS\system32\basepfev32.dll','');
QuarantineFile('C:\WINDOWS\system32\cs.dat','');
QuarantineFile('C:\WINDOWS\system32\rc.dat','');
QuarantineFile('C:\WINDOWS\system32\ps1.dat','');
QuarantineFile('C:\WINDOWS\system32\alog.txt','');
QuarantineFile('C:\WINDOWS\system32\wininet.exe','');
DeleteFile('C:\WINDOWS\system32\twain_32\local.ds');
DeleteFile('C:\WINDOWS\system32\twain_32\user.ds');
DeleteFile('C:\WINDOWS\system32\basebjl32.dll');
DeleteFile('C:\WINDOWS\system32\basexmt32.dll');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\baseopbl32.dll');
DeleteFile('C:\WINDOWS\system32\basepfev32.dll');
DeleteFile('C:\WINDOWS\system32\cs.dat');
DeleteFile('C:\WINDOWS\system32\rc.dat');
DeleteFile('C:\WINDOWS\system32\ps1.dat');
DeleteFile('C:\WINDOWS\system32\alog.txt');
DeleteFile('C:\WINDOWS\system32\wininet.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Пришлите новый карантин согласно приложению 2 правил
(если будет не пуст).

Сделайте новые логи.

Сделал. Отправил карантин. Простите, а логи после проверки какой программой?

Имелись в виду логи AVZ и HJT

Карантин высылал ранее.

А почему в АВЗ опять базы от 06.04.08? :O
Переделать.
И лог Малваребайтс тоже прилепите.

Готово