Последствия Trojan.Win32.KillAV.ayh

Notebook Compaq 615
WinXPsp2 ZverCD
В безопасный режим или c INFRA LiveCD не грузится из-за отсутствия драйвера AMD SATA AHCI (BSOD 0x0000007B)

Был заражен Trojan.Win32.KillAV.ayh
Лечил вручную, потом AVZ-скриптом "лечение".

ПРОБЛЕМА: После лечения глючит проводник, "Свойства папки" вкладка "Настройка" приводит к зависанию системы, даже диспетчер задач не запускается.

Выполнить скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\fnkjnh.sys','');
DeleteService('asc3360pr');
QuarantineFile('C:\WINDOWS\system32\AESTFltr.exe','');
QuarantineFile('C:\WINDOWS\system32\blastclnnn.exe','');
QuarantineFile('G:\autorun.inf','');
DeleteFile('G:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\blastclnnn.exe');
DeleteFile('C:\WINDOWS\Tasks\At1.job');
DeleteFile('C:\WINDOWS\system32\drivers\fnkjnh.sys');
BC_ImportAll;
ExecuteSysClean;
Executerepair(5);
Executerepair(6);
Executerepair(8);
Executerepair(11);
Executerepair(16);
ExecuteWizard('SCU', 2, 2, true);
ExecuteWizard('PRT', 2, 2, true);
ExecuteWizard('TSW', 2, 2, true);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

При первом сканировании забыл вытащить флешку,
так что G:\autorun.inf - это от Panda USB Vaccine, и в повторном сканировании и карантине он отсутствует.

Скрипт выполнил, логи прилагаю.

В логах чисто, что с проблемой?

Зависания системы из-за проводника исчезли, спасибо!

Но появилась странная проблема. Скорее всего, не связанная с вирусами.
Отключив DrWeb перед лечением системы, не смог его включить и решил переустановить. Удалился нормально. А при установке инсталлятор сразу же после распаковки файлов выдает красивое окошко с эмблемой и длинным текстом, которое исчезает за миллисекунду - ничего не успеваю прочесть...
Так и не смог поставить антивирус :-(

Сделайте новый лог virusinfo_syscheck.zip и лог MBAM

В обычном режиме сканировал AVP, обнаружил и лечил Virus.Win32.Sality.aa
После этого сделал логи. Лог MBA пустой, поэтому не прилагаю.

Зараза жива.
Кто-то закрывает окно AVZ сразу после запуска, кто-то убивает инсталлятор DrWeb. Лог делал переименованным AVZ'ом.

[QUOTE='Андрей Ильин;581646']В обычном режиме сканировал AVP, обнаружил и лечил Virus.Win32.Sality[/QUOTE]
Эту заразу так просто не вывести, просканируйте ПК Куреитом (др.Веб) и AVPTool.
Затем сделайте логи. Используйте LiveCD, закачивать и записывать образ диска надо на чистом ПК

[QUOTE=shapel;581657]Используйте LiveCD, закачивать и записывать образ диска надо на чистом ПК[/QUOTE]
Увы, я не умею загрузиться с LiveCD на таком железе (AMD SATA AHCI), неизбежно получаю BSOD 0x0000007B. Даже в DOS'е драйвер ram-диска виснет...

Скачайте утилиту и запустите [URL="http://support.kaspersky.ru/viruses/solutions?qid=208636131"]http://support.kaspersky.ru/viruses/solutions?qid=208636131[/URL] Затем просканируйте ПК свежим Куреитом [URL="http://www.freedrweb.com/cureit/"]http://www.freedrweb.com/cureit/[/URL]

Извините, начал действовать, не дожидаясь Вашего ответа.
В биосе переключил режим SATA Device Mode = ATA, загрузился с LiveCD и пролечил AVP. Кроме того же Virus.Win32.Sality.aa, ничего иного не обнаружил.

Вернул режим в биосе.
После этого сделал лог AVZ, прилагаю.
И теперь удалось установить Доктор Вэба.

Сейчас еще запущу сканирование МВАМ.

Еще раз просканируйте ПК LiveCD. Салити еще присутствует.

выполнено сканирование,вирусы удалены

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\d\s\sg\17\STacSV.exe','');
QuarantineFile('C:\Documents and Settings\Admin\del_temp.cmd','');
QuarantineFile('C:\WINDOWS\system32\drivers\qlpmh.sys','');
DeleteService('asc3360pr');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\burnlib.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\enc_vorbis.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\gen_crasher.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\gen_ff.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\gen_jumpex.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\gen_ml.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\gen_orgler.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\gen_tray.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_cdda.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_dshow.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_flac.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_linein.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_midi.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_mod.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_mp3.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_vorbis.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_wav.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\in_wm.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\ml_autotag.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\ml_dash.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\ml_local.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\ml_nowplaying.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\ml_online.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\ml_orb.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\ml_playlists.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\ml_wire.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\out_ds.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\pmp_ipod.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\pmp_p4s.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\vis_avs.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\vis_milk2.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\vis_nsfs.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\winamp.lng');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\WLZ3855.tmp\winampa.lng');
DeleteFile('C:\WINDOWS\system32\drivers\qlpmh.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Выполнил.
AVP и CureIt ничего не нашли.
Файл в автозагрузке del_temp.cmd - мой, он очищает временные папки.

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\muis\svchost.exe','');
DeleteFile('C:\WINDOWS\muis\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
[QUOTE]Внимание !!! База поcледний раз обновлялась 04.02.2010 необходимо обновить базы при помощи автоматического обновления [/QUOTE]Обновите базы, повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[B]shapel[/B], благодарю Вас за работу.
Это был компьютер соседей в родной деревне.
Теперь я оттуда уехал, теперь нет возможности продолжать лечение.
Спасибо.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]