Помогите с BackDoor.Tdss.565

Изначально была проблема в том что не работал интернет (локальная сеть на 2 компьютера, один из них подключен к йоте), проблема была в том что в настройках соединения с интернетом (йота) не было указано "разрешить общий доступ..." плюс соединений было 2 одинаковых (но с разными именами) при проверке cureit'ом было найдено и вылечено/удалено много вирусов (к сожалению не обратил внимания какие именно). Проблему это не решило - на следующий день та же проблема с интернетом (в том числе и опять 2 соединения, причем одно из них вскоре исчезает) при проверке при помощи cureit он нашел следующее:
"Процесс в памяти: C:\Program Files\Mail.ru\Agent\MAgent.exe:180 статус: BackDoor.Tdss.565
Процесс в памяти: C:\Windows\system32\svchost.exe:396 статус: BackDoor.Tdss.565

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\Drivers\utmymjk3.sys','');
QuarantineFile('C:\WINDOWS\Installer\43f32.msi','');
QuarantineFile('C:\TopPlan.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)

Также, после выполнения действий из предыдущего сообщения, [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт AVZ:[/URL]
[CODE]begin
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]
Система перезагрузится.

После перезагрузки сделайте повторные логи, а также [URL="http://virusinfo.info/showthread.php?t=40118"]сделайте лог с помощью GMER.[/URL]

Скрипты выполнил, файл прикрепил (Файл сохранён как 091102_151925_virus_4aeece4d16254.zip
Размер файла 4315571
MD5 18fed720dab1fc0e997e44bc56830c3b)

выкладываю логи


З.Ы. пользуясь случаем хочу принести извинения за такую "оперативность" - просто в этот офис не удается часто выезжать

Оперативность - дело Ваше. Сейчас посмотрю логи....

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

- [B]Вставьте все заражённые флешки, но не открывайте их в Проводнике, пока Вам не будет это разрешено.[/B]
- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрвол.[/B]
- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
O2 - BHO: zsglibP - {1A16EC86-94A1-47D5-A725-49F5970E335D} - (no file)[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
TerminateProcessByName('c:\windows\system32\csrcs.exe');
QuarantineFile('M:\hakrsa.exe','');
QuarantineFile('M:\autorun.inf','');
QuarantineFile('system32\DRIVERS\cdrom.sys','');
QuarantineFile('c:\windows\system32\csrcs.exe','');
DeleteFile('c:\windows\system32\csrcs.exe');
DeleteFile('M:\autorun.inf');
DeleteFile('M:\hakrsa.exe');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(false);
ExecuteRepair(16); {восстановление ключа запуска explorer}
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
[b]- Обновите базы AVZ!!![/b]
- Сделайте повторные логи согласно пункта 2 [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
[I]virusinfo_syscheck.zip
[/I]
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.

Придется Вам LiveCD от Доктора делать и с его помощью лечиться. [url]http://virusinfo.info/showpost.php?p=306441&postcount=2[/url]

В начале, выполните такой скрипт и повторите загрузку карантина после перезагрузки системы:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
QuarantineFile('c:\windows\system32\DRIVERS\cdrom.sys','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

скрипты выполнил (в порядке их появления на форуме) карантин прикрепил(Файл сохранён как 091110_171201_virus1_4af974b121b1e.zip
Размер файла 452854
MD5 55f5008f356821bbcff9f31fc935fb44)
единственно на счет флешек хотел уточнить - я видел файл hakrsa.exe не только на диске М:\ - то ли сотрудники офиса вытаскивают\вставляют флешки и буквы дисков меняются, то ли этот файл переползает с флешки на флешку...
ну и собственно обновленные логи...

Не видно ничего подозрительного. Проблема решена?
Установите обновления безопасности на Windows.

к сожалению пока не могу сказать решена или нет (
однако немного смущает наличие файла hakrsa.exe, или ешо можно просто вручную удалять и не париться?

В крайнем логе его нет. Он что, снова появился? Вы уверены, что он не был записан на флешку на другом компьютере?

cureit еще раз свежим проверьтесь. будет ли он на тдсс ругаться.

Все впорядке, проверил cureit'ом - молчит...
на флешку, я думаю, он мог был быть записан с другого компьютера...
Всем спасибо за помощь...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\csrcs.exe - [B]Packed.Win32.Klone.bj[/B] ( DrWEB: Win32.HLLW.Autohit.9696, BitDefender: Gen:Trojan.Heur.AutoIT.Sq3@bipN7baO )[/LIST][/LIST]