Пачка вирусов, которые не хотят уходить

Не удается справится с ними, сканировал DrWeb как обычном режиме, так и с LiveCD. Позже я понял почему DrWeb вяло реагировал на вирусные файлы, некоторые из них он не знал.
Мне помог virustotal, с точки зрения касперского вот что я отловил руками и проверил он-лайн сканером:
Trojan.Win32.Scar.bdah / файлы типа H001.exe и конкретный conime.exe
Backdoor.Win32.Chyopic.jc / файл ati2ess.exe
Backdoor.Win32.Chyopic.jd / файл G001.exe
Trojan-Clicker.Win32.VB.dkz / wmiprsve.exe
TRojan.Win32.VB.aacl / expIorer.exe
В процессах явно висел expIorer.exe и ,возможно, wmiprsve.exe .
Блокируется встроенный брендмауер.

Здравствуйте,

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.


-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
StopService('Windows Workstation');
StopService('sdewe DvvS Service');
StopService('NesSrv');
StopService('expIorer');
QuarantineFile('C:\WINDOWS\system32\wmiprsve.exe','');
QuarantineFile('C:\WINDOWS\System32\NeSrv.exe','');
QuarantineFile('C:\WINDOWS\system32\JMAHQJPTBV\J002.exe','');
QuarantineFile('C:\WINDOWS\system32\expIorer.exe','');
QuarantineFile('C:\WINDOWS\system32\3C4HCT2ZPN\J001.exe','');
QuarantineFile('C:\WINDOWS\system32\275125.exe','');
QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\scsaver.exe','');
DeleteService('Windows Workstation');
DeleteService('sdewe DvvS Service');
DeleteService('NesSrv');
DeleteService('expIorer');
DeleteFile('C:\WINDOWS\system32\wmiprsve.exe');
DeleteFile('C:\WINDOWS\System32\NeSrv.exe');
DeleteFileMask('C:\WINDOWS\system32\JMAHQJPTBV\','*.*',true);
DeleteDirectory('C:\WINDOWS\system32\JMAHQJPTBV\');
DeleteFile('C:\WINDOWS\system32\expIorer.exe');
DeleteFileMask('C:\WINDOWS\system32\3C4HCT2ZPN\','*.*',true);
DeleteDirectory('C:\WINDOWS\system32\3C4HCT2ZPN\');
DeleteFile('C:\WINDOWS\system32\275125.exe');
DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\scsaver.exe');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612} ');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
BC_DeleteSvc('Windows Workstation');
BC_DeleteSvc('sdewe DvvS Service');
BC_DeleteSvc('NesSrv');
BC_DeleteSvc('expIorer');
SetAVZPMStatus(True);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.[/CODE]

[COLOR="Red"]Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.[/COLOR]

После перезагрузки:
- [URL="http://virusinfo.info/upload_virus.php?tid=67060"]Закачайте файл ..\avz\quarantine.zip[/URL] для анализа.
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

Скрипт выполнил, новое устройство удалил.
Карантин отправил.
Диагностика выполнена.

PS. Кажется вирус внес изменения в систему, например, брендмауер в панели управления не открывается, пишет (не дословно) "по причине непонятной ошибки запустить неудалось". Может порекомендуете выполнить восстановление системы в AVZ, или что-нибудь другое..

Внезапно NOD отловил в памяти (см.картинку).
[IMG]http://s51.radikal.ru/i134/1001/25/7c50a8923d6d.png[/IMG]
Поэтому новые логи прилагаю.

[SIZE="1"]Уважаемый хелпер, который работает с моей проблемой, Вы про меня не забыли?[/SIZE]

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
BC_DeleteReg('HKLM\SYSTEM\CurrentControlSet\Services\ias');
BC_DeleteReg('HKLM\SYSTEM\CurrentControlSet\Services\irmon');
BC_DeleteReg('HKLM\SYSTEM\CurrentControlSet\Services\DltsSrv');
QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
QuarantineFile('C:\WINDOWS\system32\dltsrunsrv.dll','');
QuarantineFile('C:\WINDOWS\system32\khsla.bmp','');
QuarantineFile('C:\WINDOWS\system32\ndhmi.bmp','');
QuarantineFile('C:\WINDOWS\system32\JMAHQJPTBV\J002.exe','');
QuarantineFile('C:\WINDOWS\system32\3C4HCT2ZPN\J001.exe','');
DeleteService('hzddos_svcname');
DeleteService('gs');
DeleteFile('C:\WINDOWS\system32\3C4HCT2ZPN\J001.exe');
DeleteFile('C:\WINDOWS\system32\JMAHQJPTBV\J002.exe');
DeleteFile('C:\WINDOWS\system32\ndhmi.bmp');
DeleteFile('C:\WINDOWS\system32\khsla.bmp');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\irmon\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\dltsrunsrv.dll');
DeleteFile('C:\WINDOWS\system32\csrcs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run-','csrcs');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b]Прислать запрошенный карантин[/b][/color], вверху этой темы.
[b]Обновите базы AVZ[/b].
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

Выполните в AVZ скрипт из файла [url=http://df.ru/~kad/ScanVuln.txt]ScanVuln.txt[/url] и приложите к этой теме файл avz_log.txt из под-папки [b]log[/b].

Сразу скажу, что перед выполнением последних указаний я исправил грубую свою ошибку, разграничив пользователя и админа в правах. AVZ запускал из учетки пользователя, который имел полные права ранее. Запускал от имени админа, как полагается.
В карантине судя по всему два файла.
[QUOTE]Файл сохранён как 100118_120555_virus_4b54247334503.zip
Размер файла 210556
MD5 7ad1f3096c681774b8ee16d65eecb9aa[/QUOTE]
Логи сделаны.

Вирусов не видно, а вот дыр полно. См. в конце файла avz_log.txt
Начать лучше с [url=http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4]Service Pack 3[/url] для Windows ХР (может потребоваться активация).

Что правда, то правда. Тема исчерпана значит?

Пока дыры не закроете, лечение не эффективно.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\dltsrunsrv.dll - [B]Trojan-Downloader.Win32.Agent.czkz[/B] ( BitDefender: DeepScan:Generic.Peed.86A89DBB )[*] c:\windows\system32\expiorer.exe - [B]Trojan.Win32.VB.aacl[/B] ( DrWEB: Trojan.Siggen.49673, BitDefender: Trojan.Generic.2963265, AVAST4: Win32:Crypt-FQP [Trj] )[*] c:\windows\system32\khsla.bmp - [B]Trojan-PSW.Win32.Bjlog.eax[/B] ( BitDefender: Trojan.Generic.IS.412346, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\wmiprsve.exe - [B]Trojan.Win32.VB.aacl[/B] ( DrWEB: Trojan.Siggen.49673, NOD32: Win32/VB.ORT trojan, AVAST4: Win32:Crypt-FQP [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]