Последствия избавления от AntivirusXP2008

Добрый день.
Четыре дня мучился с зловредом. Компьютер сразу же после загрузки перегружался с сообщением "ошибка NT AUTHORITY\SYSTEM\services.exe" либо же вешал всю систему при попытке обхитрить сее сообщение. Ни AVZ, ни Касперский упорно не хотели собирать логи, останавливались на полпути и зависали. В безопасном режиме комп не включался. Решить проблему удалось поставив систему на другой винт и загрузившись с него. Cure It! удалил три вируса и вроде все заработало. Но AVZ выдает много сообщений о перехвате функций, причем имя перехватчика все время меняется. Остается неизменными только первые две буквы и расширение, а вместо вопросиков все время разные буквы sp??.sys.

C:\Program Files\DAEMON Tools Lite\daemon.exe - драйвер вот от этой программы.

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('livenote.exe','');
QuarantineFile('MSVCR32.DLL','');
QuarantineFile('C:\Program Files\CPUCooL\CooLSrv.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
DeleteFile('MSVCR32.DLL');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

CPUCooL - эта программа установлена?
Что вот это livenote.exe знаете?

сделать новые логи.

Загрузить карантин.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
QuarantineFile('C:\WINDOWS\System32\drivers\vmi386.sys','');
DeleteService('vmi386');
DeleteFile('C:\WINDOWS\System32\drivers\vmi386.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('vmi386');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...

[B]PavelA[/B] CPUCool не установлен, про livenote ничего не знаю. Логи прилагаю, а вот в карантин ничего не попало. Только .ini файлы

Да, забыл сказать. Cure iT! при чистке удалил как раз файлы vmi386.sys, MSVCR32.DLL и tdll.dll

livenote - обновлялка драйверов для Асуса.
Выполнить:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('CPUCooLServer');
DeleteFile('C:\Program Files\CPUCooL\CooLSrv.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

C:\Program Files\CPUCooL\ - вот это можно все удалить.

Что-то AVZ на скрипт ругается Undeclared Identifier BC_DeleteService позиции 4:17

Исправил.

Спасибо за помощь!

Логи повторите.

А я было подумал, что уже все закончилось...Ан, нет.
Теперь вот к userinit'у некий twext.exe прилепился

Мда, пора в консерватории исправлять:
[code]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/code]

Поставил только что SP3. Начались проблемы с IE - не вводятся адреса, все время открывается домашняя страничка и тормоза большие. В итоге снес. Возможно, вирус себя так проявляет, но на SP2 подобного не происходит.
Жду ответа по логам.

Скачать Icesword В нем найти и удалить C:\WINDOWS\System32\Drivers\sfc.SYS
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
DeleteFile('C:\WINDOWS\system32\twext.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать новые логи.

В Icesword строку C:\WINDOWS\System32\Drivers\sfc.SYS обнаружить не удалось

В логах чисто. Надеюсь, что проблемы исчезли.

Спасибо, вроде исчезли. Меня только настораживает лог HijackThis, а именно вот эти строчки
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{C536199D-9415-4B8B-BEBB-B28AB894635C}: NameServer = 82.199.96.143 195.94.224.134
и вот эти
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
Уж больно много CTFMON'а :)

CTFMON - переключалка языка в трейе для каждого пользователя прописана.

82.199.96.143 195.94.224.134 - адреса знакомы? Если нет, то можно профиксить.

c:\windows\system32\nwprovau.dll - для Новельской сетки. Если она не используется, то не страшно.