Блокировка антивирусов, Rootkit.Win32.Pakes.bs

1. Сначала перестал работать DrWeb, попытки переустановить были безуспешны [B]-"Не удается удалить drwebase. Ошибка в данных (CRC)".[/B]
2. Свежескачанный CureIt в безопасном режиме не работает - [B]"Срок действия лицензионного ключа истек".[/B]
3. Запущенный из-под второй системы (пока нормально работающей) AVPTool нашел и удалил :
[B]удалено: троянская программа Rootkit.Win32.Pakes.bs Файл: D:\WINDOWS\system32\drivers\rnsxgtrcwxnzvir.sys[/B]
4. AVZ не запускается - [B]"Access violation at addres..."[/B](см. полностью в message.jpg).
5. Вот HijackThis отработал нормально, лог прилагаю.

Прошу посоветовать, что делать дальше!

специальная версия авз, monk.pif из моей подписи запускается?

СПАСИБО! Совет помог, все три лога в приложении.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\stisvc.exe','');
QuarantineFile('C:\WINDOWS\System32\hidserv.dll','');
DeleteService('synsend');
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
DeleteService('swapm');
QuarantineFile('C:\WINDOWS\system32\swapm.sys','');
DeleteService('ctdcg');
QuarantineFile('C:\WINDOWS\system32\drivers\rnsxgtrcwxnzvir.sys','');
QuarantineFile('C:\WINDOWS\system32\swapdm.dll','');
DeleteFile('C:\WINDOWS\system32\swapdm.dll');
DeleteFile('C:\WINDOWS\system32\drivers\rnsxgtrcwxnzvir.sys');
DeleteFile('C:\WINDOWS\system32\swapm.sys');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
DeleteFile('swapdm.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('synsend');
BC_DeleteSvc('swapm');
BC_DeleteSvc('ctdcg');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...

Скрипт выполнил,
карантин загрузил (только файлы были очень маленькие, может и нет там ничего),
свежие логи прилагаю.

Посмотрите логи, пожалуйста!

Посмотрите логи, пожалуйста!

пофиксите ...
[code]
O20 - Winlogon Notify: swapdm - C:\WINDOWS\
[/code]
больше ничего плохого ....

Пофиксил.
Проблемы с блокировкой антивирусных программ (см. вложенную в первый пост картинку) остались, все три сообщения выходят в том же виде.
Может что-то вредное осталось или так хитро испорчены некие системные файлы?
Что посоветуете?

Попробуйте в спец-авз:
[code]begin
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]

Потом ещё зайти в avz-> Файл->Мастер поиска и устранения проблем.Желательно пройтись хотя-бы по системным проблемам и перегрузиться.


Иммунизация лучше лечения :) [url]http://virusinfo.info/showthread.php?t=30339[/url]

C:\WINDOWS\system32\DRIVERS\usbser_lowerflt.sys- это что у нас будет? Пришлите по второму пункту правил.

Скрипт выполнил.
[quote=drongo;320140]Попробуйте в спец-авз:
C:\WINDOWS\system32\DRIVERS\usbser_lowerflt.sys- это что у нас будет? Пришлите по второму пункту правил.[/quote]
Файл usbser_lowerflt.sys отправил.

[size="1"][color="#666686"][B][I]Добавлено через 59 минут[/I][/B][/color][/size]

[COLOR=black]Проверка этого файла на сайте [B]viruslist.com[/B] показала наличие вируса:[/COLOR]

[COLOR=black][SIZE=2]Проверенный файл: [COLOR=#005447]avz00001.dta - Инфицирован [/COLOR][/SIZE][/COLOR]
[SIZE=2][COLOR=black]avz00001.dta - инфицирован [/COLOR][/SIZE][URL="http://www.viruslist.com/ru/find?words=Trojan-Spy.Win32.Goldun.bhy"][SIZE=2][COLOR=black]Trojan-Spy.Win32.Goldun.bhy[/COLOR][/SIZE][/URL]
[SIZE=2][COLOR=black]Что посоветуете делать дальше?[/COLOR][/SIZE]

Ок, раз пошла такая пьянка, тогда такой выполнить ,
[code]begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\netfxperf.dll','');
QuarantineFile('C:\WINDOWS\system32\xRaidSetup.exe','');
QuarantineFile('C:\WINDOWS\system32\stisvc.exe','');
QuarantineFile('C:\WINDOWS\system32\MsSip3.dll','');
QuarantineFile('C:\WINDOWS\system32\MsSip2.dll','');
QuarantineFile('C:\WINDOWS\system32\MsSip1.dll','');
QuarantineFile('C:\WINDOWS\System32\hidserv.dll','');
DeleteService('upperdev');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\usbser_lowerflt.sys','');
DeleteFile('C:\WINDOWS\system32\DRIVERS\usbser_lowerflt.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('upperdev');
BC_Activate;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code] прислать последний карантин который получиться. затем попробуйте пройтись свежим avptool и cureit в безопасном режиме, сообщите о результатах.

Карантин отправил.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]37[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\usbser_lowerflt.sys - [B]Trojan-Spy.Win32.Goldun.bhy[/B] (DrWEB: Trojan.NtRootKit.2456)[*] c:\\windows\\system32\\swapdm.dll - [B]Trojan-Spy.Win32.Goldun.bih[/B] (DrWEB: Trojan.PWS.GoldSpy.2571)[*] c:\\windows\\system32\\swapm.sys - [B]Trojan-Spy.Win32.Goldun.bhy[/B] (DrWEB: Trojan.NtRootKit.2456)[/LIST][/LIST]