Кто-то поселился и тихо проживает

Добрый день, уважаемые helper_ы! В один прекрасный момент перестал корректно работать DrWeb 5, я его своевременно обновлял вроде. Не долго думая я его снес (правда пришлось помучаться, т.к. при стандартном удалении он просил отключить самозащиту, которая при наборе требуемой комбинации символов не отключалась, я конечно в душе разработчиков поругал, но оказывается зря, видимо кто-то завелся и погрыз Доктора). Скачал с досады ознакомительную версию Avira, поставил, но.... она не запускается, тогда-то я и всполошился. На данный момент: Dr.Web CureIt в безопасном режиме нашел пару троянов(удалил), regedit не запускается, AVZ и HiJackThis без переименования тоже не запускаются. Посмотрите пож. логи.[URL="ftp://ftp.drweb.com/pub/drweb/cureit/setup.exe"] [/URL]

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\Program Files\DU Meter\DUMeter.exe','');
QuarantineFile('C:\Documents and Settings\Dom\Dom.exe','');
DeleteService('securentm');
QuarantineFile('C:\WINDOWS\system32\drivers\securentm.sys','');
DeleteService('port135sik');
QuarantineFile('C:\WINDOWS\system32\drivers\port135sik.sys','');
DeleteService('fips32cup');
QuarantineFile('C:\WINDOWS\system32\drivers\fips32cup.sys','');
DeleteService('acpi32');
QuarantineFile('C:\WINDOWS\system32\drivers\acpi32.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\fips32cup.sys');
DeleteFile('C:\WINDOWS\system32\drivers\port135sik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
ExecuteRepair(9);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

Скрипт выполнил: regedit запускается, AVZ и HiJackThis без переименования тоже запускаются. Карантин выслал.

Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmasrv.exe','');
BC_DeleteSvc('FastUserSwitchingCompatibilitySSDPSRV');
QuarantineFile('C:\WINDOWS\system32\acelpdecj.exe','');
DelCLSID('45AC2688-0253-4ED8-97DE-B5370FA7D48A');
QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
DeleteFile('C:\Documents and Settings\Dom\Dom.exe');
DeleteFile('C:\WINDOWS\system32\acelpdecj.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
Читайте: [url]http://virusinfo.info/showpost.php?p=386579&postcount=1[/url]
Установите Adobe Acrobat Reader 9.1 или удалите старый.
Обновите Java.

Замените файл C:\WINDOWS\system32\userinit.exe на этот: [url]http://virusinfo.info/attachment.php?attachmentid=94967&d=1228217426[/url] или на соответствующий файл из дистрибутива WINDOWS XP.

Ok. Всё выполнил.

Userinit.exe так и остался патченный.
Просто так заменить его вам система не даст. Нужно сделать так: имеющийся файл переименовать, новый записать и перезагрузиться. Потом удалить старый переименованный.

Также необходимо выполнить это:
[url]http://virusinfo.info/showthread.php?t=43700[/url].

И еще рекомендую удалить программу [I]Target Marketing Agency[/I], это adware.

После всего этого сделайте новый лог syscheck (п.2 Диагностики).

Выполнил.

Теперь все чисто.
Какие-то проблемы остались?

Проблем нет. Все заработало в штатном режиме. [COLOR=Magenta]С[/COLOR][COLOR=Lime]п[/COLOR][COLOR=Blue]а[/COLOR][COLOR=DarkOrchid]с[/COLOR][COLOR=Lime]и[/COLOR][COLOR=Red]б[/COLOR]о всем Вам ! Так все-таки троян сидел? Как он смог через DrWeb пролезть?

Да, все-таки троян...
Если бы DrWeb или какой-то другой антивирус обеспечивал 100% защиту, то нам бы тут нечего было бы делать. Увы, это невозможно.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\common files\target marketing agency\tmagent\tmagent.dll - [B]not-a-virus:AdWare.Win32.TMAagent.r[/B] ( BitDefender: Gen:Adware.Heur.6408F75555 )[*] c:\windows\system32\userinit.exe - [B]Trojan-Mailfinder.Win32.Agent.aay[/B] ( DrWEB: Trojan.MulDrop.31931 )[/LIST][/LIST]