Трояны и компания

Здравствуйте!
У меня проблемы с двумя компьютерами, пробовала чистить разными антивирусами - ничего не получается. Так как я в этой теме полный чайник, попытаюсь примитивно описать проблему.
На флешке постоянно появляются самовоспроизводимые файлы, которые глючат сами и глючат все, что на нее и с нее копируется:
autorun.inf
папка restore, в ней: k-1-3542-4232123213-7676767-8888886
папка C, в ней: Settings
После форматирования флешки эта штука снова появляется, значит прячется где-то в обоих компьютерах. Разные антивирусы находят в них трояны, их лечат и, видимо, частично удаляют, но потом все повторяется снова.
На ноутбуке, который хотелось бы первым вылечить, стоит ClamWin Free Antivirus.
Я постаралась проделать все операции по диагностике, как у указано в Ваших правилах. Логи прикрепляю к письму.
Заранее огромное спасибо!

[B]Вставьте все заражённые флешки, но не открывайте их в Проводнике, пока Вам не будет это разрешено.[/B]
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрволл.[/B]
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\C\Settings\cool.exe','');
QuarantineFile('C:\C\Settings\cl.exe','');
QuarantineFile('C:\NEXT\FILES\NEXT.exe','');
QuarantineFile('c:\SYSTEM\S-3-7-89-2225458569-9856321456-454423558-8896\Driver.exe','');
QuarantineFile('C:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\Perfume.exe','');
QuarantineFile('C:\CONFIG\S-1-5-21-1482476501-1644491937-682003330-1013\Cfg.exe','');
QuarantineFile('C:\RESTORE\k-1-3542-4232123213-7676767-8888886\X0R.exe','');
DeleteFile('C:\RESTORE\k-1-3542-4232123213-7676767-8888886\X0R.exe');
DeleteFile('C:\CONFIG\S-1-5-21-1482476501-1644491937-682003330-1013\Cfg.exe');
DeleteFile('C:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\Perfume.exe');
DeleteFile('c:\SYSTEM\S-3-7-89-2225458569-9856321456-454423558-8896\Driver.exe');
DeleteFile('C:\NEXT\FILES\NEXT.exe');
DeleteFile('C:\C\Settings\cl.exe');
DeleteFile('C:\C\Settings\cool.exe');
DelCLSID('23KLN5J0-4OPM-11WE-AAX5-24EF1D187332');
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-21CX3C644141');
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-22CX3C644241');
DelCLSID('67EFG7H6-8IJL-56YT-KLH4-76WE8D3RAM87');
DelCLSID('67KLN5J0-4OPM-33WE-AAX5-24KC2A3453431');
DelCLSID('67XOR2B0-3GMC-89VV-JIJ1-32KL2R3233771');
DelCLSID('67XOR2B0-3GMC-89VV-JIJ1-32KL2R3251771');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.

Все сделала по Вашей схеме. Правда на проходящем лечение ноутбуке не смогла загрузить прикрепленные файлы (почему-то не работает "вложения" и форматирование при написании ответа на форуме. Пришлось воспользоваться другим "болеющим" компом :)

[B]virus.zip[/B] уберите из вложений!!!

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\Davidik\r5n6f1b2l6d5.exe','');
QuarantineFile('F:\C\Settings\cool.exe','');
QuarantineFile('F:\autorun.inf','');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\C\Settings\cool.exe');
DeleteFile('C:\Documents and Settings\Davidik\r5n6f1b2l6d5.exe');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Карантин загрузила. Присылаю логи.

Миссия выполнена [img]http://fc01.deviantart.com/fs12/i/2006/274/c/4/_cowboy__by_sereneworx.gif[/img]
Вы можете отблагодарить хелперов, которые Вам помогли, добавив им отзыв, а также и весь проект VirusInfo вот [URL="http://virusinfo.info/showthread.php?t=3519"]тут.[/URL]
Рекомендуется изменить все используемые пароли, поскольку теоретически зловред мог их отправить злоумышленникам. Также, рекомендуется провести полную проверку системы антивирусом.
В обязательном порядке установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи. Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
Установите все последние [URL="http://update.microsoft.com]обновления системы Windows[/URL] и используемых программ.

Учтите, что все флешки, побывавшие в заражённом компьютере, содержат вирус (исключая ту, которая находилась в компьютере, когда Вы выполняли скрипт, рекомендованный Вам хелпером thyrex). Если Вы вставите одну из этих флешек в компьютер, он заразится вновь. Если Вы хотите отключить автозапуск, таким образом предотвращая заражение от этого типа вирусов, скопируйте текст ниже в Блокнот:
[CODE]Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
"AutoRun"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff
"NoDriveAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ShellHWDetection\]
"Start"=dword:00000004

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000FF
"NoDriveAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"
[/CODE]

Сохраните текст как 1.reg, а затем дважды кликните на нём. Внесение информации в реестр - разрешите.

Учтите, что после выполнения этих действий отключится автозапуск, и Вам придётся впредь открывать носители и запускать автозапускаемые диски самостоятельно.

СПАСИБО Вам огромное!!!!!!!!! Я честно говоря даже не надеялась на такую скорую помощь и поддержку в лечении компьютера. Вы просто МОЛОДЦЫ!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! СУПЕР КЛАСС!!!!!!!!!!!
Обязательно расскажу о Вашем проекте своим друзьям и знакомым! и конечно постараюсь по возможности поддержать проект по всем пунктам :) У меня для окончательного разрешения проблемы остался еще второй (основной) зараженный компьютер, при контакте с которым все усилия по лечению первого могут уйти в никуда. Проблемы те же. Как Вы рекомендуете, открою новую тему "Трояны и компания. Вторая серия".

Открывайте.

Скажите пожалуйста, а что делать с зараженной карточкой памяти для фотоаппарата? Я ее забыла вставить в ноутбук при лечении. Мне нужно ее использовать, но не хочется снова заражать компьютер. Если я ее вставлю в компьютер без автозапуска и отформатирую, это безопасно?

Вполне.

Если Вы выполнили тот reg-файл, то теперь можете вставлять любые флешки. Заразиться с них Вы сможете только в случае тго, что запустите не то, что нужно.

Указанный рег-файл компьютер почему-то отказывается вносить в реестр. Я перед лечением компьютера отключила автозапуск как-то через пуск-выполнить-regedit, а дальше не помню :) где-то прочитала. Но я не уверена, что отключились все указанные в Вашем тексте пути.

Отказывается, потому что Ваш антивирус отслеживает эти изменения. Попробуйте выполнить с отключенным антивирусом.

Все равно не хочет. Выходит примерно следующая надпись (только у меня на испанском). you can only import binary registry files from within the registry editor. А если пытаюсь импортировать рег-файл через Editor de Registro, он пишет что-то при записи сотрутся какие-то ценные входы и ключи.

1. Текст полностью вставьте в Блокнот.
2. Сохраните текст как 1.reg. Обратите внимание: не txt, а reg!
3. Дважды кликните на этот файл. Спросит что-то - согласитесь.
4. Что пишет?

[QUOTE=Julia1404;423938]Скажите пожалуйста, а что делать с зараженной карточкой памяти для фотоаппарата? Я ее забыла вставить в ноутбук при лечении. [/QUOTE]Ответ на вопрос #3 : [url]http://virusinfo.info/showpost.php?p=423984&postcount=6[/url] :O

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\davidik\r5n6f1b2l6d5.exe - [B]Trojan.Win32.Buzus.bjnh[/B] ( DrWEB: Trojan.Inject.5868 )[*] f:\c\settings\cool.exe - [B]Trojan.Win32.Buzus.biwe[/B][/LIST][/LIST]