Здравствуйте! Прошу помощи. Словил Win32/Rootkit.Agent.ODG

Доброй ночи. Неделю назад обнаружил проблемы при подключении к узлам mail.rambler.ru, а также всем популярным соц. сетям, в т.ч. "Вконтакте". При загрузке сих ресурсов отображалось сообщение с просьбой отправить СМС и т.п. Начал лечить, стоит НОД32, ежедневно обновляется. Нашел какую то мелочь, удалил. Далее сам ручками поправил [B]%windir%/system32/drivers/etc/hosts[/B] - где были прописаны адреса соц. сетей и почтового сервера РАМБЛЕРА. Заработали. После перезагрузки системы - НОД обнаружил: "Оперативная память - [B]Win32/Rootkit.Agent.ODG[/B] троянская программа - очистка невозможна". Пытался "задушить руками" :)) Есессно не смог 0( Ознакомился с Вашими правилами, сделал все по инструкции. Д.Веб нашел в безопасном режиме несколько троянов, вылечил (удалил). Отправляю Вам все необходимые ЛОГИ. Буду очень признателен, если поможете разобраться с этой заразой)) Спасибо.[B][/B]

1. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!

2. Повторите лог [B]virusinfo_syscheck.[/B]

Скрипт выполнил. Комп перезагрузился. Повторил [B] virusinfo_syscheck[/B]

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('D:\DOCUME~1\X@N\LOCALS~1\Temp\b.exe','');
QuarantineFile('D:\INSTALL\Настройка и украшение ОС\AddToStartUp 1.0\AddToStartUp.exe','');
QuarantineFile('D:\INSTALL\Запись CD, DVD\Nero 8\Nero 8 Keygen.exe','');
DeleteFile('\systemroot\system32\drivers\SKYNETxvmdiwhp.sys');
DeleteFile('D:\RECYCLER\S-1-5-21-2740814054-8145254851-119275842-8280\wmiprvse.exe');
DeleteFile('scvhost.exe');
DeleteFile('D:\DOCUME~1\X@N\LOCALS~1\Temp\b.exe');
DeleteFile('C:\WINDOWS\Tasks\{783AF354-B514-42d6-970E-3E8BF0A5279C}.job');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=52126[/URL]

3. Эти адреса Вам известны?

[QUOTE]O17 - HKLM\System\CCS\Services\Tcpip\..\{6B2B3AC5-F1BD-4F4A-9EE0-74B8251EBB98}: NameServer = 85.21.192.5 213.234.192.7
O17 - HKLM\System\CS1\Services\Tcpip\..\{6B2B3AC5-F1BD-4F4A-9EE0-74B8251EBB98}: NameServer = 85.21.192.5 213.234.192.7[/QUOTE]Если нет, то [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксите.[/URL]

4. Повторите логи.

Скрипт выполнил. Карантин отправил. Пофиксил. Логи повторил. Высылаю.

Сделайте такой лог [URL]http://virusinfo.info/showthread.php?t=40118[/URL]

Corbina Ваш провайдер?

Лог гмера прикрепил. Корбина - провайдер. (Corbina Telecom)

Сохраните содержимое как start.bat в каталоге с gmer, запустите и после перезагрузки повторите лог gmer.

[CODE]gmer.exe -del service kungsflcnvytoi
gmer.exe -del service kungsfpiqwbwuc
gmer.exe -del service kungsfvovnpypp
gmer.exe -del service SKYNETblnsibea
gmer.exe -del service SKYNETipmpdrbc
gmer.exe -del service SKYNETwmdieexy
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kungsflcnvytoi"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kungsfpiqwbwuc"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kungsfvovnpypp"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETblnsibea"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETipmpdrbc"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETwmdieexy"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kungsflcnvytoi"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kungsfpiqwbwuc"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kungsfvovnpypp"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETipmpdrbc"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETwmdieexy"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\kungsflcnvytoi"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\kungsfpiqwbwuc"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\kungsfvovnpypp"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\SKYNETblnsibea"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\SKYNETipmpdrbc"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\SKYNETwmdieexy"
gmer.exe -reboot[/CODE]

Сделал. Повторно пошуршал ГМЕРом, кажется чисто?

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SetServiceStart('Schedule', 4);
DelBHO('{500BCA15-57A7-4eaf-8143-8C619470B13D}');
DeleteFile('D:\DOCUME~1\X@N\LOCALS~1\Temp\b.exe');
DeleteFile('C:\WINDOWS\Tasks\{783AF354-B514-42d6-970E-3E8BF0A5279C}.job');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Сделайте повторные логи (только п.2 и 3 раздела Диагностика).

Сделал.

Очистите планировщик заданий.

Ничего зловредного в логах нет. Что с проблемами?

Александра, тысячу раз спасибо! Проблем нет, НОД ничего зловредного не находит. Вообщем, все путем. Благодаря ВАМ! :) И можно небольшой офф. вопрос - какой файрволл можете порекомендовать? После данного случая решил все же поставить...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]