при подключении флешки пишет на нее вирус.

Добрый день!
Столкнулся с такой проблемой- на компе стоит Win xp sp2, eset nod 2.70.39.
И теперь при подключении флешки eset выдает сообщение : [IMG]http://virusinfo.info/G:\capture_10112008_153009.jpg[/IMG]

и при этом на флешку пишется файл system.exe размером 40 960 байт. На другом компе, где стоит Avira [FONT=Times New Roman][SIZE=3]Premium Security Suite 8 этот файл опознается как TR/Agent.amog или TR/Agent.alqj, а в Kaspersky Virus Removal Tool опознается как [FONT=Times New Roman]троянская программа Trojan.Win32.Agent.alqj.[/FONT][/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]Вчера при проверке в Kaspersky Virus Removal Tool были следующие результаты : [/FONT][/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]первый раз -[/FONT][/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]Обнаружено[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]----------[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Статус Объект[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]------ ------[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.yyq Файл: C:\Documents and Settings\tester\Local Settings\Temp\buritos.exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.zaq Файл: C:\Documents and Settings\tester\Local Settings\Temp\shaurma.exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.yxf Файл: C:\Documents and Settings\tester\Local Settings\Temp\wintvXtxaR.exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.yxf Файл: C:\Documents and Settings\tester\Local Settings\Temporary Internet Files\Content.IE5\CBHRYMV5\load[1].php[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]обнаружено: вирус Worm.Win32.AutoRun.ryi Файл: C:\Documents and Settings\tester\Local Settings\Temporary Internet Files\Content.IE5\E1HIZU1S\ldr[4].exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Clicker.JS.Agent.aw Файл: C:\Documents and Settings\tester\Local Settings\Temporary Internet Files\Content.IE5\I86P7HWC\Mirrors_for_bath[1].htm[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Clicker.HTML.IFrame.es Файл: C:\Documents and Settings\tester\Local Settings\Temporary Internet Files\Content.IE5\O7VN6GL9\111[1].js[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.yyq Файл: C:\Documents and Settings\tester\Local Settings\Temporary Internet Files\Content.IE5\O7VN6GL9\buritos[1].exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.zaq Файл: C:\Documents and Settings\tester\Local Settings\Temporary Internet Files\Content.IE5\QZ6R2HIZ\shaurma[1].exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: вирус Email-Worm.Win32.Zhelatin.adt Файл: C:\Program Files\ESET\infected\0JEWJADA.NQF//PE-Crypt.XorPE[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Packed.Win32.Tibs.kg Файл: C:\Program Files\ESET\infected\32L35MAA.NQF//PE-Crypt.XorPE[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Agent.wnv Файл: C:\Program Files\ESET\infected\L53ILHBA.NQF//PE-Crypt.XorPE[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Buzus.mey Файл: C:\Program Files\ESET\infected\LZRPUXDA.NQF//PE-Crypt.XorPE[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Pakes.jud Файл: C:\Program Files\ESET\infected\PKO0INDA.NQF//PE-Crypt.XorPE//PE_Patch.UPX//UPX[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Agent.alxl Файл: C:\WINDOWS\system32\msvcrt62.dll[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.zfw Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\CJCREZUL\WM[1].exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]не найдено: троянская программа Trojan.Win32.Agent.alqj Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\UVOFILKF\ldr[1].exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.zfw Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\UVOFILKF\WM[1].exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]не найдено: вирус Worm.Win32.AutoRun.ryi Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\Y76ZA123\ldr[1].exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.yzi Файл: C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\Y76ZA123\WM[1].exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.yzi Файл: C:\WINDOWS\Temp\rdl1.tmp[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.zfw Файл: C:\WINDOWS\Temp\rdl5.tmp[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.zfw Файл: C:\WINDOWS\Temp\rdl94.tmp[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan-Dropper.Win32.Agent.yzi Файл: C:\WINDOWS\Temp\rdlA8.tmp[/FONT][/SIZE][/FONT]

[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]и во второй раз - [/FONT][/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]Обнаружено[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]----------[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Статус Объект[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]------ ------[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Agent.alpx Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0075454.dll[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: вирус Worm.Win32.AutoRun.rtt Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0075455.exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Agent.alxl Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0075531.dll[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Agent.alxs Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0076608.dll[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Agent.alqj Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0076612.exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Agent.alzb Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0076658.dll[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: вирус Worm.Win32.AutoRun.ryi Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0076660.exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: вирус Worm.Win32.AutoRun.ryi Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0076667.exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: вирус Worm.Win32.AutoRun.ryi Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0076683.exe[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]удалено: троянская программа Trojan.Win32.Agent.alxl Файл: C:\System Volume Information\_restore{3AEF2EB7-62C1-4A8A-A4A4-BB79A19D03C8}\RP191\A0076688.dll[/FONT][/SIZE]
[/FONT]
[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]Сегодня, перед тем как писать это письмо, проверка в Kaspersky Virus Removal Tool не выявили никаких вирусов, но флешка также исправно при каждом подключении заражается.[/FONT][/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]Требуемые файлы я прилагаю.[/FONT][/SIZE][/FONT]

[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]Хотелось бы узнать как с этим справиться.[/FONT][/SIZE][/FONT]

[FONT=Times New Roman][SIZE=3][FONT=Times New Roman]Заранее благодарен, Александр Качуренко.[/FONT][/SIZE][/FONT]
[FONT=Times New Roman]
[/FONT]

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
QuarantineFile('mssvcc.exe','');
QuarantineFile('regsrv32.exe','');
QuarantineFile('C:\WINDOWS\system32\wpx9.cpx','');
QuarantineFile('C:\WINDOWS\system32\lssrvc.exe','');
QuarantineFile('C:\WINDOWS\system\msidll.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Qva62.sys','');
QuarantineFile('C:\WINDOWS\system32\msvcrt45.dll','');
DeleteFile('C:\WINDOWS\system32\msvcrt45.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Qva62.sys');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportAll;
BC_DeleteSvc('Qva62');
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=33678[/url]

Повторите логи.

День добрый!
Сделал как сказано, карантин выслал. Логи прилагаю.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O4 - HKLM\..\RunServices: [msconfig38] mssvcc.exe
O4 - HKLM\..\RunServices: [mysvcig38] mysvcc.exe
O4 - HKUS\S-1-5-18\..\RunServices: [Registry Server] regsrv32.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunServices: [Registry Server] regsrv32.exe (User 'Default user')[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\msvcrt46.dll');
DeleteFile('C:\WINDOWS\system32\wpx9.cpx');
DeleteFile('mssvcc.exe');
DeleteFile('SystemReg16.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...

[COLOR=black][FONT=Verdana]День добрый![/FONT][/COLOR]

[COLOR=black][FONT=Verdana]1. Сегодня при подключении флешки Nod не кричал и на флешку зловред не писался.[/FONT][/COLOR]

[COLOR=black][FONT=Verdana]2. при попытке пофиксить строка O4 - HKLM\..\RunServices: [mysvcig38] mysvcc.exe отсутствовала, правда я с утра запускал Spybot - Search & Destroy version: 1.6.0 (build: 20080729), он там кое-что понаходил и полечил, видимо из-за этого и отсутствует. Логи Spybot - Search & Destroy на всякий случай прилагаю.[/FONT][/COLOR]

[COLOR=black][FONT=Verdana]3. В папке C:\WINDOWS\system32 кроме файла msvcrt46.dll был аналогичный msvcrt44.dll (размер одинаковый), а вчера, насколько я помню, был еще и msvcrt45.dll.Так что я в скрипт добавил строчку про удаление msvcrt44.dll. Скрипт выполнился нормально.[/FONT][/COLOR]

[COLOR=black][FONT=Verdana]4. Хотелось бы понять, это я поймал именно трояна? и поэтому Nod не мог его прибить а только боролся с его проявлениями? и что за зверь был?[/FONT][/COLOR]

Отключать надо всю защиту при выполнении скриптов, все Ваши НОД, Касперский, Др.Веб, Спайбот. Они только мешают.

Числом защитных программ не победишь троянов.

День добрый!

Да я вроде все отключал перед запуском AVZ. С чего такой вывод о неотключении перед скриптами?
И где ключевая фраза - "логи чистые"? Или еще не все чисто?

В Хиджаке в процессах НОД + Доктор.

Выполнить:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('msidll');
DeleteFile('C:\WINDOWS\system\msidll.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторить Станд скрипт №2.

Добрый день!
1. Не могу в Диспетчере задач завершить nod32krn.exe, жму "Завершить процесс" и ничего не происходит, висит себе дальше, хотя из Nodа перед этим я выхожу. просто он висит для system, а я вроде где-то в нете читал что обычный пользователь не сможет при этом убить процесс nod32krn.exe.
так что в Хиджаке он опять будет виден.
2. Скрипт выполнился, правда я перед этим смотрел и файл C:\WINDOWS\system\msidll.exe отсутствовал. Как же он тогда выполнился нормально, если не удалил то что нужно? Ведь кроме удаления в скрипте ничего более полезного не было вроде. Но это так, размышления вслух.....
Логи прилагаю.

Я там просто пустой сервис убил, чтобы зря в реестре не висел.
BC_DeleteSvc('msidll');

В логах теперь чисто.

Ну что же, за сим считаю что мои волнения закончились(вернее не совсем мои, ибо лечил машину коллеги, моя чистенькая).

Большая благодарность всем хэлперам, помогавшим мне!!!!!!!!!!


P.s. Делаю для себя выводы -
1. нет ПОСТОЯННО хорошего антивируса. Начинал с DrWeb, потом был касперский, потом nod, сейчас на своей машине Avira Premium Security Suite 8 и я доволен, во всяком случае у меня Avira орала на зловред, записываемый на флешку а на машинке, которую лечили , Nod тихонько себя в тряпочку..... .
2. прийдется и себе поставить дополнительно антитрояна, уже одного антивируса, даже хорошего, маловато.

Господа хэлперы, не подскажите напоследок хорошего антитрояна ?