win32.virut - проблема!(не юбилейный ли штамм?)

стоит ДР-веб. базы были свежие, но вирь проник на машину.
при полном скане в безопасном режиме cure-it"ом был обнаружен Virut, downloader, click/ точные модификации не скажу но лог cureita и штатного drweba имеется. при загрузке системы выскакивает ошибка доступа svchost.exe при доступе к памяти по адресу ... процедура "Read". (но это лишь деталь...) при сканировании АВЗ в штатном режиме АВЗ не может создать ЛОГ-файл. после чего тоже выскакивает ошибка чтения из памяти. просканировал в безопасном... лог создан.
reader_s.ехе - создал новый, с атрибутом "только чтение" нулевого размера(как ни странно помогло и вирут перестал размножаться(и это после полной проверки)...но как только вышел в интернет, монитор резидентной защиты сообщил об инфицировании. reader_s.ехе - по прежнему пустой. повторная проверка выявила повторное заражение большинства ехе-шников. сначала думал (хотя быть может это действительно так)скорее всего загрузка с помощью downloaderа, но в вирут распространился когда был в оффлайне. с проблемой маюсь уже неделю. принял самые радикальные меры - формат С: и инсталляция ОСи с нуля(после очередного полного скана). и вот...казалось бы, система девственно чиста, но нет... спустя пару дней блокируется доступ на серверы антивирусников и ваш форум. брэндмауэр заругался на *.sys файлы и svchost. прошу вашей помощи

[QUOTE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/QUOTE]Пришлите файл avz.exe в архиве с паролем "virus" по красной ссылке вверху темы, у вас файловый вирус...

отправил

Возможно это новый вариант файлового вируса Virut. Теперь нужно ждать ответ из вир. лаба.

в пачке с 56? или просто слабое место вируса, что он детектируется как 56-ой?

[QUOTE=Роман-zes;394379]в пачке с 56?[/QUOTE]
Возможно. Сейчас лучше выключить компьютер. Вирус может заразить все исполняемые файлы и тогда вытащить машину будет сложнее. Нужно дождаться ответа.

Здравствуйте!

Сделайте следующее:

1. Скачайте по-новой утилиту AVZ;
2. Замените файл avz.exe на новый;
3. Сделайте заново логи AVZ.

при сканировании АВЗ в штатном режиме АВЗ не может создать ЛОГ-файл. после чего тоже выскакивает ошибка чтения из памяти.

повторить в безопасном?

[QUOTE=Роман-zes;395278]повторить в безопасном?[/QUOTE]Нет, он ничего не покажет. Выполните лечение от файловых вирусов последней версией CureIt.
Потом сделайте логи этим АВЗ: [url]http://rapidshare.com/files/199106177/toto.pif[/url]

а не заразиться ли пиф файл когда я его скачаю?

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

и если я скачаю лайв СД - при записи на диск не попадет ли тело вируса на болванку?

[QUOTE=Роман-zes;395381]а не заразиться ли пиф файл когда я его скачаю?
и если я скачаю лайв СД - при записи на диск не попадет ли тело вируса на болванку?[/QUOTE]В идеале Вам надо бы скачать это на чистом ПК, но если его нет под рукой - попробуйте на этом.

сделал.
обратил внимание что на ПК 2 свхоста один из них в папке windir/dhcp

McAfee-GW-Edition6.7.62009.04.30Win32.Malware.gen!90 (suspicious)


тот который dhcp

[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]

единственный антивирь на вирустотал определил

пуск - віполнить - sfc /scannow (понадобится диск с дистрибутивом)

а с логами что?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

второй свхост который в систем 32 по классификации каспера - Trojan-Downloader.Win32.Agent.bsjn , по классификации nod Win32/Virut.NBP у дрвеба не определился

[QUOTE=Роман-zes;395619]а с логами что?[/QUOTE]Сначала - [URL="http://virusinfo.info/showpost.php?p=395611&postcount=13"]афсянка [/URL](c)

потом снова полный скан и создание логов?

[QUOTE=Роман-zes;395625]потом снова полный скан и создание логов?[/QUOTE]correct :)

спасибо
"афсянка" - завершила проверку сис файлов. и всё... более ничего не происходит.
разве комп не должен был уйти на перезагрузку?
или сделать это ручками?

[QUOTE=Роман-zes;395634]
разве комп не должен был уйти на перезагрузку?
[/QUOTE]по команде /scanonce - да : [url]http://support.microsoft.com/?scid=kb%3Bru%3B310747&x=10&y=5[/url] ;)

т.е системные файлы заменяются в реальном времени?!:O
и вообще должна ли существовать папка DHCP если я не делал никаких манипуляций с сервисом dhcp?

system32/svchost - более не детектируется на вирустотал как инфицированный
dhcp/svchost - [url]http://www.virustotal.com/ru/analisis/830c385ac3417c860e2a1c9f7eaf8980[/url]

explorer. exe [url]http://www.virustotal.com/ru/analisis/32d731835393ce69de6f04e7446b7770[/url]