В корне локальных дисков создается файл autorun.inf

В корне локальных дисков создается файл autorun.inf с содержанием:
[CODE][autorun]
;jexivuwcnqdfmvttzluycuvfxblweyrjqeli
shellexecute="RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com c:\"
;moeysmr
shell\Open\command="RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com c:\"
;dndumnnpnrtlnuaumtzgjwkqps
shell=Open[/CODE]
Подозреваю, что есть какая-то гадость.
В системе установлен антивирус Kaspersky Anti-Virus 6.0 for Windows Workstations с последними обновлениями. Никаких предупреждений о заражении с его стороны не было.
Проверил утилитой Virus Removal Tool в автоматическом режиме - все чисто. Прилогаю отчет, сделаный утилитой, в ручном режиме.
Выручайте...

Лог HijackThis тоже надо сделать.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);

DeleteFile('D:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com');
QuarantineFile('d:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('I:\autorun.inf','');
DeleteFile('E:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com');
QuarantineFile('E:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com','');
DeleteFile('I:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com');
QuarantineFile('I:\RECYCLER\S-2-5-79-100022072-100019035-100031376-1866.com','');
ExecuteRepair(6);
ExecuteRepair(8);
DeleteFile('I:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать новые логи.
Загрузить карантин по [url]http://virusinfo.info/upload_virus.php?tid=43722[/url]

Выполнил скрипт. Загрузил карантин. Сделал новые логи

Чего-то я поторопился. Сейчас скрипт поправлю и надо его будет повторить.

Настройки сети Ваши:
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{15ED9123-6CF9-4D60-A48D-F23C4DE4C9DF}: NameServer = 85.255.112.106,85.255.112.128
O17 - HKLM\System\CCS\Services\Tcpip\..\{99CF9021-F67D-4499-9AA4-B250E5B210FA}: NameServer = 77.106.108.135,77.106.109.139
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.106,85.255.112.128
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.187,85.255.112.208
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.106,85.255.112.128[/CODE]
Если нет, то профиксить.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

И еще выполнить вот этот:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\dll.dll','');
QuarantineFile('C:\WINDOWS\TEMP\tempo-84025312.tmp','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Карантин загрузить.

Пофиксил настройки сети. Выполнил скрипт. Карантин загружен. И еще раз логи, если нужно

[QUOTE=cenod;386854]И еще раз логи, если нужно[/QUOTE]
Разницу между ЛОГОМ и КАРАНТИНОМ понимаете?

[QUOTE=Rene-gad;386855]Разницу между ЛОГОМ и КАРАНТИНОМ понимаете?[/QUOTE]
Да, понимаю. Прошу прощения, просто запарился...

Выполнить:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\TEMP\tempo-84025312.tmp');
DeleteFile('I:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторить логи.

Выполнил.

[ATTACH]125270[/ATTACH]

[ATTACH]125271[/ATTACH]

Вроде бы справились. Теперь надо отключить автозапуск флешек (см. "Чаво"),
поставить обновления системы, и решить вопросы из низа лога.

[QUOTE]решить вопросы из низа лога[/QUOTE]
Не понял, какие вопросы?

Вот эти все дела:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: набор применяемых на компьютере служб зависит от области его применения (домашний, компьютер в сети предприятия и т.д.)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к компьютеру разрешен доступ анонимного пользователя
>> Безопасность: разрешены терминальные подключения к компьютеру
>> Безопасность: разрешена отправка приглашений удаленному помошнику
>> Отключить автозапуск с жестких дисков
>> Отключить автозапуск с сетевых дисков
>> Отключить автозапуск с CD-ROM
>> Отключить автозапуск с съемных носителей
>> Отключено автоматическое обновление системы (Windows Update)

Ясно. Думаю, с этим я сам разберусь.
Спасибо за помощь!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\temp\tempo-84025312.tmp - [B]Trojan.Win32.Agent.cbdu[/B][/LIST][/LIST]