Win32/AutoRun.IRCBot.BJ worm

Ребята помогите пожалуйста !
Знаю тема похожая есть я ее перечитал и кое что сделал но вот моя проблема сидел я себе спокойно в инете когда выдало ошыбку usbmanager.exe s4chost.exe так вроде . Ну и самое главное это то что NOD пишет о заразе файла Win32/AutoRun.IRCBot.BJ worm а теперь он мне еще й пишет Win32/Agent.PQG trojan !!
Проблема осложняэтся еще и тем что у меня МТС -Коннект то с этими ошибками он работает минимум пару минут потом приходится перезапускать !
Могу вложить файлы avz лог которые я сделал по инструкции

Не "могу", а нужно. Три лога по правилам.

Вообщем это все файлы!
Теперь svchost.exe вообще не дает мне залесть в инет так что скопировал файлы на ноут и выложил .
Я надеюсь что мне кто-нибудь поможет!

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\w_w45B.tmp','');
QuarantineFile('C:\WINDOWS\usbmngr.exe','');
QuarantineFile('C:\WINDOWS\usb_drv.exe','');
QuarantineFile('C:\WINDOWS\system32\umb_eut.dll','');
QuarantineFile('C:\WINDOWS\runservice.exe','');
QuarantineFile('C:\WINDOWS\new4.exe','');
QuarantineFile('C:\WINDOWS\mslsrv32.exe','');
DeleteFile('C:\WINDOWS\mslsrv32.exe');
DeleteFile('C:\WINDOWS\new4.exe');
DeleteFile('C:\WINDOWS\runservice.exe');
DeleteFile('C:\WINDOWS\usb_drv.exe');
DeleteFile('C:\WINDOWS\usbmngr.exe');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\w_w45B.tmp');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\5IKTZSBD\lse[1].exe');
DeleteFile('C:\WINDOWS\system32\00.scr');
DeleteFile('C:\WINDOWS\system32\45.scr');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=53472[/url]).
Сделайте новые логи.

Вот новые файлы
Замечу что после ввода скрипта при загрузке не появлялось сообшения от NOD об этом worm но стоило залесть в инет на 3 минуты и опять появилось это сообщение.

[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.20583)[/QUOTE]
Система дырявая, поэтому и лезут.
Ставьте SP3 + последующие обновления.

Ну я так думаю что одними обновлениями вирус не уйдет.Может я ошибаюсь?
Тогда логично что перед установкой SP3 следует ввести похожий скрипт в azv, что-бы он убрал зараженные файлы. Или не так?)

[QUOTE]Ну я так думаю что одними обновлениями вирус не уйдет.[/QUOTE]
Вирусы были удалены скриптом, а теперь они снова лезут к вам из сети через дыры в системе. Нод (слава богу) их отсекает. Ставьте обновления как можно скорее, чтобы перекрыть эти дыры!

Так в том то и дело что после последнего поключения к инету при загрузке машины Нод опять выдает такое сообщение . Поетому наверное стоит еще раз ввести скрипт а потом без выхода в инет ставить SP3. Файлы ведь уже опять инфецированы получается?)

В правильном направлении думаете.

Понял. Спасибо вам pig и вам Bratez. Если все будет окей отпишусь))

Значит Пак поставил обновление тоже поставил, но проблема не решена всё по прежнему выдает Win32/AutoRun.IRCBot.BJ worm
Более того при сканировании системы avz Нод выдавал похожие сообщения только в других папках ну там из папки Local Settings и тд
Вообщем вот файлы .
Может нужно загрузить файлы virusinfo_cure.zip

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\tempfile36640.exe','');
DeleteFile('C:\WINDOWS\Temp\tempfile36640.exe');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile81443.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile81443.exe');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile74857.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile74857.exe');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile70542.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile70542.exe');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile55467.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile55467.exe');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile31622.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\tempfile31622.exe');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\NHG6UQQQ\ms14[1].exe','');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\NHG6UQQQ\ms14[1].exe');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\GP1T2AGI\ms14[1].exe','');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\GP1T2AGI\ms14[1].exe');
TerminateProcessByName('c:\windows\usb_magr.exe');
QuarantineFile('c:\windows\usb_magr.exe','');
DeleteFile('c:\windows\usb_magr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Universal Serial Bus device');
DeleteFileMask('C:\WINDOWS\Temp', '*.*', true);
DeleteFileMask('C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
DeleteFileMask('C:\Documents and Settings\Администратор\Local Settings\Temp', '*.*', true);

BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Вот файлы пока все нормально при загрузке буду надеятся что так и будет)

Пофиксить в HiJack
[CODE]O4 - HKLM\..\Run: [Windows USB Serivce] usbmngr.exe
O4 - HKLM\..\Run: [Universal Bus device] usb_drv.exe
O4 - HKLM\..\Run: [Windows Data Serivce] new4.exe[/CODE]Перезагрузиться

Сделать новый лог HiJack

Вот сделал . Какой вердикт?)

Ничего плохого

Вроде всё работает нормально .
Огромное спасибо thyrex
Я никогда не отказую в просьбах если меня о чем-то просят, поэтому ценю то что вы уделили время для моей проблемы.
Еще раз низкий вам поклон ребята .

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\5iktzsbd\lse[1].exe - [B]Backdoor.Win32.SdBot.osl[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\mslsrv32.exe - [B]Backdoor.Win32.SdBot.osl[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\new4.exe - [B]Trojan.Win32.Buzus.bxnq[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\system32\00.scr - [B]Backdoor.Win32.SdBot.osl[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\system32\45.scr - [B]Backdoor.Win32.SdBot.osl[/B] ( DrWEB: BackDoor.IRC.Sdbot.5190, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\usb_drv.exe - [B]Net-Worm.Win32.Kolab.dtc[/B] ( DrWEB: BackDoor.IRC.Sdbot.5269, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\usb_magr.exe - [B]Net-Worm.Win32.Kolab.dqn[/B] ( DrWEB: BackDoor.IRC.Sdbot.5226, BitDefender: Backdoor.Bot.105130 )[*] c:\windows\usbmngr.exe - [B]Net-Worm.Win32.Kolab.dpt[/B] ( DrWEB: Trojan.DownLoad.45172, BitDefender: Trojan.Generic.2348950, AVAST4: Win32:Trojan-gen {Other} )[/LIST][/LIST]