Win32/Rootkit.Agent.ODG.

два дня назад на компе повис синий экран с большой инструкцией, обнаружил ночью по-этому не стал вдумчиво разбираться и выключил компьютер. На следущий день Нод нашел этот вирус.
прикрепляю логи, надеюсь на вашу помощь.

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\N85MSE5U\botko[3].exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\N85MSE5U\botko[1].exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\786.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\587.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7231517797-5748949912-962395537-3774\nissan.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-7231517797-5748949912-962395537-3774\nissan.exe');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\587.exe');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\786.exe');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\N85MSE5U\botko[1].exe');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\N85MSE5U\botko[3].exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

повторил логи ) отправил скрипт

Выполните скрипт в AVZ
[CODE]
begin
setavzpmstatus(true);
rebootwindows(true);
end.
[/CODE]
Компьютер перезагрузится.

Сделайте пункт 2 диагностики.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL]

сделано

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\vsfocevpucrdkb.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\vsfocevpucrdkb.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-7231517797-5748949912-962395537-3774\nissan.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи авз

сделано

Лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] сделайте

а руткита вроде уже нет

Выполните скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\vsfocevpucrdkb.sys','');
QuarantineFile('c:\windows\system32\vsfocekimlqiqw.dat','');
QuarantineFile('c:\windows\system32\vsfocebivjmtky.dll','');
QuarantineFile('c:\windows\system32\vsfocexbfasavi.dat','');
QuarantineFile('c:\windows\system32\vsfoceymfoewgl.dll','');
QuarantineFile('vsfocewsp.dll','');
DeleteFile('c:\windows\system32\vsfocebivjmtky.dll');
DeleteFile('c:\windows\system32\vsfocexbfasavi.dat');
DeleteFile('c:\windows\system32\vsfoceymfoewgl.dll');
DeleteFile('c:\windows\system32\vsfocewsp.dll');
DeleteFile('c:\windows\system32\drivers\vsfocewsp.dll');
DeleteFile('c:\windows\system32\vsfocekimlqiqw.dat');
DeleteFile('c:\windows\system32\drivers\vsfocevpucrdkb.sys');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del service vsfocehopavkxn
gmer.exe -del file "c:\windows\system32\drivers\vsfocevpucrdkb.sys"
gmer.exe -del file "vsfocewsp.dll"
gmer.exe -del file "c:\windows\system32\vsfoceymfoewgl.dll"
gmer.exe -del file "c:\windows\system32\vsfocexbfasavi.dat"
gmer.exe -del file "c:\windows\system32\vsfocebivjmtky.dll"
gmer.exe -del file "c:\windows\system32\vsfocekimlqiqw.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\vsfocehopavkxn"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\vsfocehopavkxn"
gmer.exe -reboot[/CODE]Запустите cleanup.bat. Компьютер перезагрузится.

Повторите логи AVZ и gmer

Выполнил первый скрипт, дальше при запуске клин-ап выскакивают такие сообщения
[url]http://s58.radikal.ru/i160/0908/31/cc809e323447.jpg[/url]

[QUOTE=light59;441602]Повторите логи AVZ и gmer[/QUOTE]???

ок!

В логах ничего подозрительного. Жалобы есть?

нет.
[SIZE="5"]Большое спасибо[/SIZE] :)

- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить [B][COLOR="Red"]все защитные приложения[/COLOR][/B] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите IE 8
- Обновите JavaRE
- Обновите Acrobat Reader

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\администратор\local settings\temporary internet files\content.ie5\n85mse5u\botko[1].exe - [B]Trojan.Win32.Buzus.brey[/B] ( DrWEB: Trojan.Siggen.3271 )[*] c:\documents and settings\администратор\local settings\temporary internet files\content.ie5\n85mse5u\botko[3].exe - [B]Trojan.Win32.Buzus.brey[/B] ( DrWEB: Trojan.Siggen.3271 )[*] c:\documents and settings\администратор\local settings\temp\587.exe - [B]Trojan.Win32.Buzus.brey[/B] ( DrWEB: Trojan.Siggen.3271 )[*] c:\documents and settings\администратор\local settings\temp\786.exe - [B]Trojan.Win32.Buzus.brey[/B] ( DrWEB: Trojan.Siggen.3271 )[*] c:\recycler\s-1-5-21-7231517797-5748949912-962395537-3774\nissan.exe - [B]Trojan.Win32.Buzus.brey[/B] ( DrWEB: Trojan.Siggen.3271 )[*] c:\windows\system32\drivers\vsfocevpucrdkb.sys - [B]Trojan.Win32.Agent.csfx[/B] ( DrWEB: BackDoor.Tdss.349, BitDefender: Trojan.CryptRedol.Gen.3 )[/LIST][/LIST]