был reader_s.exe, ndis.sys,.. увеличивается размер exe-файлов, ломится в инет *.tmp

Здравствуйте!

обращаюсь к вам, т.к. сама не смогла ничего сделать. попробую написать "кратко" ))
в сеть выхожу со здоровой машины.

на зараженном компе две винды, XP SP2 и 2000 SP4, заражены теперь обе. отключен физически от сети, антивируса и фаервола не стояло. началось с xp, ее и прошу помочь вылечить.

Началось неск. дней назад - подозрительная активность соединения с инетом (постоянно чето качает в обе стороны), отрубился qip и daemon tools.
После того как сразу вылечить не удалось - после перезагрузки и выхода все появлялось - tmp файлы в c:\windows\system32, опять начинало качать и через некоторое время опять видели в процессах reader_s.exe...
Отрубила сеть, посмотрела процессы: reader_s.exe висит и разные tmp файлы. Начиталась форум, решила в безопасном режиме все диски CureIt-ом просканить, лог есть. Там вирусы типа trojan.download и trojan.packed разные цифры, еще кажется spambot, и главное файл ndis.sys - ntrootkit.2912
Дальше не помню что тока не делала... :) сеть пропала (решила что из-за удаления ndis.sys), положила чистый ndis.sys, винда перегружалась не доходя до ввода пароля пользователя (в безопасном режиме тоже). в конце концов стала падать в синий экран (и в безопасном тоже) с ошибкой в ntoskrnl.exe
Пока копировала все эти файлы из под 2000 виндовса, в нем тоже начались симптомы.
Папа переставил xp поверх, - с восстановлением системных файлов и с сохранением всех пользовательских настроек и программ. не помогло. да, еще не знали симптомов, avz и cureit говорили все чисто, temp папки были чисты, файлов не было, в реестре ссылок на reader_s не было, - поэтому думали все в порядке, поставили фаервол agnitum. Только подключили сеть сразу появились tmp файлы в system32 и захотели выйти через svchost.exe, после запрета - нечто попыталось завершить службу аутпоста. в процессах - куча cmd.exe и svchost.exe..
сделали откат, не помогло:)


на текущий момент: сеть физически отключена, фактически все дрова на месте. все темповые папки очищены, файлов нету, ничего не возникает, Cureit ничгео не находит, avz тоже. Что настораживает - если откуда нибудь (флэш, cd) копировать Exe файлы на комп, то они увеличиваются в размере на ~14кб, после чего avz.exe сообщает что его контрольнам сумма не совпадает.
поэтому я все со здоровой машины записываю на cd и там запускаю. еще копирую как .pif, тоже помогает.
в 2000 тоже самое. Если щас подключиться к инету - опять начнется по новой. прямо какойто "спящий режим" )

Простите что так много написала...
прилагаю стандартные логи, что можно сделать? Спасибо!
[SIZE="1"]среди программ есть для блютуса и ик порта (нокиа)

Еще есть (начитавшись форума) логи gmer, vba32Arkit, скачала rootkit unhooker но не знаю какую именно надо страницу в лог.[/SIZE]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('msansspc.dll','');
QuarantineFile('C:\DOCUME~1\Jarwin\LOCALS~1\Temp\aujasnkj.sys','');
DeleteFile('C:\DOCUME~1\Jarwin\LOCALS~1\Temp\aujasnkj.sys');
DeleteFile('msansspc.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Spoolerseclogon');
BC_DeleteSvc('SpoolerRemoteAccess');
BC_DeleteSvc('SamSsAlerter');
BC_DeleteSvc('ProtectedStorageBrowser');
BC_DeleteSvc('EventlogEventSystem');
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика) + [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL].

отключила восстановление, выполнила скрипт, без ошибок.
вот новые логи.

лог gmer будет очень попозже - в прошлый раз 2 часа шел только диск С, а там забиты все диски (6 логических), я отрубила тогда. ну, подождем. спасибо!

[QUOTE=e11e;425991]лог gmer будет очень попозже - в прошлый раз 2 часа шел только диск С[/QUOTE]
Делайте только С:.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Пардон, при первом прочтении не обратил внимание:
[QUOTE]если откуда нибудь (флэш, cd) копировать Exe файлы на комп, то они увеличиваются в размере на ~14кб, после чего avz.exe сообщает что его контрольнам сумма не совпадает.[/QUOTE]
Пришлите по правилам пару таких файлов
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=49162[/url]).

Файл сохранён как 090702_174424_modif_exe_4a4cb9b83d8ca.zip
Размер файла 949253
MD5 47b3cdfa14f97c9319639ff845dab58e

послала. как раз парочку - avz и hijack увеличенные.
gmer в работе...

У вас файловый вирус, скорее всего вирут.

[QUOTE=Alex_Goodwin;426011]У вас файловый вирус, скорее всего вирут.[/QUOTE]

...это я уже давно подозреваю... )
а что же делать?

Запишите авп тул на cd и пролечитесь им.
А потом будем долечивать то, что он накачал. Придется эндис снова удалять и чистый ставить.

да, щас попробуем все диски прогнать авп тул.
лог gmer прилагаю - правда он не до конца дошел, остановила, вначале много понаписал..
пока что полечусь. вдруг все пройдет..)
Спасибо вам!

"пролечила" - 5 с половиной часов в работе. 3225 зараженных Virut.ce файлов, других вирусов не было. видимо их раньше убило.
сказало что вылечило, системные - будут вылечены после перезагрузки. после перезагрузки симптомы все теже. (восстановление точно отключено) по прежнему заражено. жаль.
))

загрузилась с BartPE и оттуда скан по системному диску.
________
добила :) хорошо что все опять не позаражались только 4 системных, те что avptool не смог сразу. но зато он все вылечил :)

Проблем вроде больше нет. Спаси вас Господи за поддержку )

Сделайте контрольные логи.

Да, вот они


и еще такой вопрос - тепер ьвсе системные файлы, которые были вылеченаы - ен проходят по контрольной сумме, ну и дата изменилась. стоит ли сделать sfc /scanonce ? или так можно жить))

Да, для надежности есть смысл сделать [B]SFC /SCANNOW[/B] или просто накатить систему "поверх". Если есть возможность использовать дистрибутив с интегрированным SP3 - накатите его, сразу двух зайцев убьете. Ну и последующие обновления потом очень рекомендуется поставить.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \avz.exe - [B]Virus.Win32.Virut.ce[/B][*] \hijackthis.exe - [B]Virus.Win32.Virut.ce[/B][/LIST][/LIST]