Подменяется beep.sys, не работает защита KAV 2009

Здравствуйте!
Прошу мне помочь вылечить следующие симптомы:

1. Система постоянно выдает сообщение "Защита файлов Windows: Файлы, нужные для правильной работы Windows, были заменены неизвестными версиями. ....".
[SIZE=1][SIZE=2]Выдержка из системного журнала: Была обнаружена попытка замены защищенного системного файла beep.sys[/SIZE][/SIZE]
[SIZE=1][SIZE=2]После выполнения требования вставить установочный диск Windows, при следующей перезагрузке все повторяется.[/SIZE]


[SIZE=2]2. Не может запуститься защита KAV 2009 (был установлен после заражения)[/SIZE]

[SIZE=2]3. Утилита Dr. Web CureIt вызывает синий экран (прилагается фото)[/SIZE]

Перед этим лечил диск методом подключения к другому компьютеру при помощи корпоративного Kaspersky 6 со свежими базами. Что-то было найдено, но похоже не все.[/SIZE]

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('C:\WINDOWS\System32\drivers\5dfa03b1.sys','');
QuarantineFile('C:\WINDOWS\dntpkwoxsp.dll','');
QuarantineFile('present.exe','');
QuarantineFile('C:\heap41a\svchost.exe','');
QuarantineFile('C:\Documents and Settings\sa\hp32_nword.exe','');
QuarantineFile('C:\WINDOWS\system32\braviax.exe','');
QuarantineFile('C:\WINDOWS\system32\hp32_nword.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\sys32.sys','');
DelCLSID('{236140d2-2846-4d32-9a0b-5365f850b3d3}');
DeleteService('sys32');
DeleteService('Passwdrenew');
QuarantineFile('C:\WINDOWS\system32\Drivers\Ntfs.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Beep.SYS','');
QuarantineFile('c:\windows\system32\hp32_nword.exe','');
DeleteFile('c:\windows\system32\hp32_nword.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\WINDOWS\system32\hp32_nword.exe');
DeleteFile('C:\WINDOWS\system32\braviax.exe');
DeleteFile('C:\Documents and Settings\sa\hp32_nword.exe');
DeleteFile('C:\heap41a\svchost.exe');
DeleteFile('present.exe');
DeleteFile('C:\WINDOWS\dntpkwoxsp.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.
[/code]
Компьютер перезагрузится.
Пришлите карантин через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы, как написано в приложении 3 Правил.
Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

Скрипт выполнил. Карантин выслал.
Единственный момент: Перезагрузил систему вручную, так как скрипт этого не сделал.
Сообщения о подмене файла больше не появляются. Однако KAV все также не работает.

C:\WINDOWS\system32\Drivers\Ntfs.sys = Rootkit.Win32.HareBot.br
это системный файл и без него компьютер не загрузится.
Загрузитесь в Безопасном режиме, переименуйте C:\WINDOWS\system32\Drivers\Ntfs.sys и запишите на его место чистый из дистрибутива или другого компьютера.
После этого повторите лог по пункту 2 Диагностики.

1. Выполнил. После перезагрузки выдал опять сообщение "Защита файлов Windows". В системных логах сообщений на этот счет не последовало :( Запустил системную утилиту "SFC - проверка системных файлов" и подсунул дистрибутив.

2.Касперский без изменений

После перезагрузки в системный лог посыпалось множество сообщений
1. [SIZE=1] Обнаружена попытка замены защищенного системного файла c:\windows\system32\drivers\beep.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.0.
[/SIZE]

2. [SIZE=1] Не удалось установить связь DCOM с компьютером PC3 через один из настроенных протоколов.[/SIZE]

[QUOTE='Gr0tesk;443339']Запустил системную утилиту "SFC - проверка системных файлов" и подсунул дистрибутив.[/QUOTE]
Чревато тем, что вы получаете непропатченную систему.
С файлом beep.sys можно проделать такой же фокус как и с Ntfs.sys.

[url=http://virusinfo.info/showpost.php?p=64376&postcount=1]Пофиксте[/url] в HijackThis следующие строки:
[quote]
O2 - BHO: MSVPS System - {236140d2-2846-4d32-9a0b-5365f850b3d3} - C:\WINDOWS\dntpkwoxsp.dll
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O4 - HKLM\..\Run: [hp32_nword] C:\WINDOWS\system32\hp32_nword.exe
O4 - HKCU\..\Run: [hp32_nword] C:\Documents and Settings\sa\hp32_nword.exe
O4 - HKLM\..\Policies\Explorer\Run: [status] present
O4 - HKLM\..\Policies\Explorer\Run: [winlogon] C:\heap41a\svchost.exe C:\heap41a\std.txt
O21 - SSODL: bgrlsmn - {1E361307-9D12-40E0-AEE7-E38CC27550FF} - (no file)
[/quote]
Некоторых уже может не быт. После перезагрузки сделайте новый лог HijackThis.

Добрый день!

Итак:
1. Вручную в защищенном режиме заменил файл beep.sys
2. Пофиксил указанные пункты

Результат тот-же. Похоже что-то в системе пытается менять по своему усмотрению beep.sys
Касперский не запускает защиту. На всякий случай его скриншот высылаю.

Пришлите файл
[code]
C:\WINDOWS\System32\Drivers\Beep.SYS
[/code]
так, как написано в приложении 2 Правил.

Карантин выслал.
Еще предпринял следующие действия:
1. Удалось запустить утилиту [URL="ftp://ftp.drweb.com/pub/drweb/cureit/setup.exe"][COLOR=#0532aa]Dr. Web CureIt![/COLOR][/URL]. Кое что нашла.
2. Создал на другом компьютере аварийный диск KAV 6 с последними обновлениями и пролечил систему. Лог прилагается.

Тем не менее ситуация не изменилась. KAV 2009 - защита не работает, beep.sys - провоцирует программу защиты системных файлов

Установите обновления безопасности на Windows.
Начать лучше с [url=http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4]Service Pack 3[/url] на Windows (может потребоваться активация).
Переустановите антивирус.

Система вылечена.1. С помощью утилиты jv16 PowerTools 2009 проанализировал реестр и нашел много мусора от предыдущих версий Касперского, Nod32, DrWeb и т.д. По-видимому устанавливали и некорректно удаляли.2. С помощью переменной среды devmgr_show_nonpresent_devices = 1 нашел также в списке устройств следы от драйверов касперского и удалил их.3. Установил SP34. Установил Касперского 2009Все стабильно работает, подозрительной активности не наблюдается.Огромное спасибо за помощь!!! :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\ntfs.sys - [B]Virus.Win32.Protector.c[/B] ( DrWEB: BackDoor.Bulknet.404, BitDefender: Rootkit.Kobcka.Patched.Gen )[*] c:\windows\system32\hp32_nword.exe - [B]Trojan-Dropper.Win32.Agent.ayzp[/B] ( DrWEB: Trojan.MulDrop.33201, BitDefender: Trojan.Agent.ANHR )[/LIST][/LIST]