Win32/Agent.ODG вирус, очистка невозможна

Друг подцепил эту гадость, обнаружил НОДом32. Пытаюсь ему помочь. Вирус сидит в оперативке и никак не лечится.

Я начал проверку в соответствии с Вашими правилами.
1. НОД убил пару троянов, нашёл ещё пару следов от уже удалённых вирусов.
2. Скачал все программы, которые Вы рекомендуете в правилах.
3. Проверка Kaspersky Virus Removal Tool не показала ничего.
4. AVZ установил и обновил.
5. Под HJT создал отдельную папку на раб.столе, но он распаковываться не хочет ни в обычном ни в безопасном режиме. То есть при запуске файла быстро мигают часы и ничего не происходит. Пытался запустить от имени пользователя со снятой защитой от несанкционированных действий программы - тоже самое. Восстановление системы я отключил ещё в самом начале.

Пока на этом остановился, высылать нечего, что делать дальше?
Может форматнуть винч будет быстрее и эффективнее? Критически важные файлы с компа уже сохранили.

[url]http://virusinfo.info/showthread.php?t=1235[/url]

[QUOTE=Yoshimitsu;410076]
4. AVZ установил и обновил.
5. Под HJT создал отдельную папку на раб.столе, но он распаковываться не хочет ни в обычном ни в безопасном режиме.[/QUOTE]
А сделать логи в AVZ получается? Если нет Тогда скачайте [URL="http://www.drpbk.dp.ua/cure/mf/game.pif"]эту версию[/URL] и делайте логи ею.
Переименуйте HJT например в 1.cmd и попробуйте запустить так

HJT установился после переименования.
Логи сделал - высылаю.

К сожалению, из-за активности вируса провайдер отключил друга от сети, так что учтите это при рассмотрении логов.

И ещё одно (может это и не важно, но лучше напишу): в диспетчере задач постоянно висит "Бездействие системы" с загрузкой ЦП 99%. Этот процесс не может быть завершён, т.к. данная операция не может быть применена к этому процессу.

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{1A6F66F8-04C0-414D-881B-91B2253C5960}');
DelBHO('{8DAE90AD-4583-4977-9DD4-4360F7A45C74}');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DeleteFile('C:\WINDOWS\system32\brastk.exe');
DeleteFile('karna.dat');
DeleteFile('C:\Documents and Settings\All Users.WINDOWS\Application Data\mvvlib.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]O2 - BHO: mvvlibP - {1A6F66F8-04C0-414D-881B-91B2253C5960} - C:\Documents and Settings\All Users.WINDOWS\Application Data\mvvlib.dll (file missing)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O20 - AppInit_DLLs: karna.dat[/QUOTE]
4. Повторите логи.

C:\WINDOWS\System32\Drivers\aoqjqzln.SYS - вот этого еще поищите на диске через AVZ. Найдется, пришлите через карантин.

Скрипт AVZ выполнился нормально.
После перезагрузки мастер нового оборудования предложил поиск текущего и обновлённого ПО на компе, CD или веб-узле windows-update. Я выбрал НЕТ. В диспетчере устройств неизвестное устр-во удалил.

В новой проверке HJT нашлась только строка О9... , других не было. Пофиксил только её.

Павел, насчёт файла: сейчас иду к нему - поищу.

Выполните скрипт в AVZ

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\TDSSmhxt.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\TDSSmhxt.sys');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите карантин, повторите логи.

[B]Карантин:[/B]
Файл сохранён как 090603_203214_virus_4a26a58e4a49d.zip
Размер файла 606
MD5 10a39a3c040b3ddee92a14a735f70eb9

[B]И логи:[/B]

Жалобы есть?
- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить [B][COLOR="Red"]все защитные приложения[/COLOR][/B] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите IE 8

Проверил NODом - злодея в оперативке больше нет! :094:
Было найдено ещё 4 объекта - все успешно убиты NODом.
Если логи нужны - могу сбросить после обеда. Ну и в ближайшее время поставлю SP3 и IE8 (да и файрвол какой-нить приличный им тоже не помешает).

Большое спасибо за Вашу помощь и терпение!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]