avast! находит, но не лечит (AutoIt:Balero-A2 [Wrm])

Столкнулся с подобным случаем на вашем форуме.
[url]http://virusinfo.info/showthread.php?t=53067[/url]

Антивирус находит различные файлы - экзешники (jyyaoi.exe), инфо об автозапуске (autorun.inf), файлы без расширения (khv), - но вылечить не может (к сожелению, сообщение Аваст'а не запомнил).

Очень надеюсь на вашу помощь, заранее благодарен.

Пост скриптум.
Появившаяся проблема возникла сегодня днем, прежде такого замечено мной не было.
Утром поставил драйвера на звуковую карту (скачал из сети, проверил на вирусы - было чисто). Позже стал настраивать сеть и открыл общий доступ к файлам и папкам. Собственно, тут антивирус и стал находить нечисть (ко второму компу так и не подсоединился - думаю, велика вероятность заражения).

[B]Выполните скрипт в AVZ[/B] (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\Алексей Владимирович\Local Settings\Temp\ShowLogo.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('E:\jyyaoi.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\SIVX32.sys','');
QuarantineFile('C:\Program Files\common files\system\scvhost\dnetc.exe','');
DeleteFile('E:\jyyaoi.exe');
DeleteFile('E:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\Documents and Settings\Алексей Владимирович\Local Settings\Temp\ShowLogo.exe');
BC_ImportDeletedList;
ExecuteSysclean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][COLOR="Red"]Прислать запрошенные файлы[/COLOR][/B]" над первым сообщением темы).

Сделайте новые логи.

Карантин отправил.

[QUOTE='no_war;460871']Позже стал настраивать сеть и открыл общий доступ к файлам и папкам.[/QUOTE]Ключевая фраза. Предположительно в локальной сети гуляет [B]Packed.Win32.Klone.bj[/B]

В данных логах ничего подозрительного не увидел

[B]thyrex[/B], есть возможность его каким-либо образом "найти и обезвредить"?+)
На данный момент общий доступ отключен.

Аваст сейчас вирус не находит, но файлы без разрешения остались.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[QUOTE=no_war;461290]файлы без разрешения остались.[/QUOTE]
Без расширения, конечно же+)

Надо заражённую машину в сети искать.

[B]pig[/B], сеть из двух компов, и заражен этот. Другой - ноут, совершенно пустой и совершенно новый.

Тогда CureIt! вам в руки. Или AVPTool. Если зараза есть, она будет найдена.

А интернет у вас как подключён? Вполне возможно, что ваша локальная сеть на самом деле несколько больше, чем две домашние машины.

[B]pig[/B], в каком смысле - "как"?+) Извините, я не силен в компьютерах, так что поясните, пожалуйста+)
Если вы про Адсл, то именно так+) Сетевыми мониторы не показывают, что идет передача\получение пакетов.

Периодически подключаюсь к областному фтп (отдельное подключение), скачиваю чрез dc-агент. Грубо говоря - фаулообменник. За всем тем, что качаю - внимательно слежу.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[QUOTE=no_war;461327]Сетевыми мониторы не показывают, что идет передача\получение пакетов.[/QUOTE]
В том смысле, что вся передача данных идет только в том случае, если я пользуюсь интернет-ресурсами.

Пост скриптум.
Аваст опять нашел заразу. Увы.

Значит,
[QUOTE=pig;461324]Тогда CureIt! вам в руки. Или AVPTool. Если зараза есть, она будет найдена.[/QUOTE]

[QUOTE=thyrex;461256]Предположительно в локальной сети гуляет [B]Packed.Win32.Klone.bj[/B][/QUOTE]
Забавно, имеено это и есть+)
Сейчас проверю до конца и буду лечить.

[QUOTE]обнаружено: троянская программа Packed.Win32.Klone.bj[/QUOTE]
Ну и еще червяков несколько. Как все закончится - сделаю логи и выложу.

[QUOTE='no_war;461743']Забавно, имеено это и есть+)[/QUOTE]Поищите на какой-нибудь машине активный процесс csr[B]c[/B]s.exe
Он и порождает эти файлы: и те, которые нулевого размера, и автораны, и с беспорядочным именем

[QUOTE=thyrex;461776]Поищите на какой-нибудь машине активный процесс csr[B]c[/B]s.exe[/QUOTE]
Таскменеджеры не нашли сего "чуда". Так же стандартный поиск на нашел данного экзешника. Возможно, есть альтернативный способ найти? Например, через реестр, или еще как-нибудь+)

Пост скриптум.
Да, знаю, тот еще юзверь. Но все же+)

Пост пост скриптум.
Через ПроцессЭксплорер видны два процесса без подписи разработчика: Interrups (Hardware Interrupts) и DPCs (Deferred Procedure Calls).
На Ваш взгляд, вызывают ли какие-нибудь подозрения?+)

Это системное.

Через АВПТул проверил, заразу удалил.
Думаю, что все равно осталась, так как Аваст периодически находит нечисть. К тому же автораны и нулевые файлы все так же имеются.

[B]Packed.Win32.Klone.bj[/B] - это авторанер. Распространяется по расшаренным сетевым ресурсам. Возможно, Вы его подхватываете с областного фтп. Скриптом AVZ у Вас будет отключен автозапуск

Пофиксить в HiJack
[CODE]F3 - REG:win.ini: run= [/CODE]

Выполните скрипт в AVZ
[code]begin
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
ExecuteRepair(19);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пофиксил, скрипт выполнил.

И снова, здравствуйте+)

Опять появилась эта же проблема - Аваст ничего сделать не может.
Новые логи прилагаются.

[QUOTE]Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
[/QUOTE]
Базы то обновлять надо!

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('D:\umgezn.exe','');
QuarantineFile('E:\Trash','');
QuarantineFile('C:\Program Files\Generic\USB Card Reader Driver v2.3\FlashIcon.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\SIVX32.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\filter.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\fixustor.sys','');
QuarantineFile('C:\Program Files\ASTRA32\ASTRA32.sys','');
QuarantineFile('C:\Program Files\common files\system\scvhost\dnetc.exe','');
DeleteFile('D:\umgezn.exe');
DeleteFile('D:\autorun.inf');
SetAVZPMStatus(True);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по красной ссылке вверху этой темы [B][COLOR="Red"]"Прислать запрошенный карантин"[/COLOR][/B]

2.Повторить логи

На всякий случай почистил с КьюрИт.

Вот логи после этой чистки.

Сейчас выполню скрипты и выложу новые логи.