bestphotocard.com, syre32 и undmgr

1. Нод постоянно выдает сообщение с заблокированный IP с бестфотокарт, сам процесс на первый взгляд не вредит но частое мелькание этой таблички доставляет большие неудобства в работе и очень хотелось бы от нее избавится.
2. В диспетчере процессов и автозагрузке появились 2 странных процесса которые при выполнении копирования (возможно и других операций просто не обращал внимания) начинают забивать производительность процессора что сильно замедляет работу с компьютером.
Надеюсь на вашу помощь в борьбе с этими проблемами.
Прилагаю логи авз и хайджек

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\syre32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7514561525-3682566482-510169068-2640\wmfcgr.exe','');
QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
QuarantineFile('c:\windows\system32\umdmgr.exe','');
QuarantineFile('c:\windows\system32\syre32.exe','');
DeleteFile('c:\windows\system32\syre32.exe');
DeleteFile('c:\windows\system32\umdmgr.exe');
DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-7514561525-3682566482-510169068-2640\wmfcgr.exe');
DeleteFile('C:\WINDOWS\system32\syre32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

Сообщение о бест фотокорд вроде больше не появляется. Вот новые логи.

карантин где ?

Новые логи и карантин

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-5869007495-7273206588-585893195-7870\wmfcgr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe,C:\RECYCLER\S-1-5-21-5869007495-7273206588-585893195-7870\wmfcgr.exe,C:\RECYCLER\S-1-5-21-2507124389-4378065580-684433122-0317\wmfcgr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0523301046-3078256434-600170600-9199\wmfcgr.exe','');
QuarantineFile('c:\windows\system32\43.exe','');
DeleteFile('c:\windows\system32\43.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe,C:\RECYCLER\S-1-5-21-5869007495-7273206588-585893195-7870\wmfcgr.exe,C:\RECYCLER\S-1-5-21-2507124389-4378065580-684433122-0317\wmfcgr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0523301046-3078256434-600170600-9199\wmfcgr.exe');
DeleteFile('C:\WINDOWS\system32\syre32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-5869007495-7273206588-585893195-7870\wmfcgr.exe');
DeleteFile('C:\WINDOWS\system32\01.scr');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

Карантин и новые логи

Выполните скрипт в AVZ
[code]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

[B]Обновите базы AVZ[/B]
Сделайте новый лог virusinfo_syscheck.zip + лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

Новые логи
Езет стал выдавать сообщения со ссылкой на системные процессы (в частности диспетчера задач и др.) и сообщением о том что они заражены Polip вирусом

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\umdmgr.exe');
QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-2964248019-8582334640-535456727-3969\wmfcgr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-2964248019-8582334640-535456727-3969\wmfcgr.exe');
DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\ndll.exe

Driver::

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделайте новые логи

Новые логи и карантин

[B]Отключите восстановление системы[/B]

Установите все обновления, вышедшие после SP3

Скачайте [url=http://oldtimer.geekstogo.com/OTM.exe]OTM by OldTimer[/url] и сохраните на рабочий стол.
Запустите OTM (в ОС Windows Vista необходимо запускать через правую кнопку мыши от имени администратора)
[url=http://www.bleepingcomputer.com/forums/topic114351.html]временно выключите антивирус, firewall и другое защитное программное обеспечение[/url]. Выделите и скопируйте текст ниже (Ctrl+C)
[code]
:Processes
explorer.exe
umdmgr.exe
syre32.exe
900.exe

:Services

:Files
c:\windows\system32\umdmgr.exe
c:\windows\system32\syre32.exe
C:\RECYCLER\S-1-5-21-0810617830-4919850464-306493439-1074\wmfcgr.exe
c:\windows\ndll2.exe
c:\docume~1\max\locals~1\temp\900.exe

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Taskman"=-
[HKEY_LOCALE_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=dword:000000dd

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]
[/code]
В OTM под панелью [b]"Paste Instructions for Items to be Moved"[/b] (под [color=yellow][b]желтой[/b][/color] панелью) вставьте скопированный текст и нажмите кнопку [b]"MoveIt!"[/b].

[B][I]Компьютер перезагрузится.[/I][/B]

После перезагрузки откройте папку [b]"C:\_OTM\MovedFiles"[/b], найдите последний .log файл (лог в формате [b]mmddyyyy_hhmmss.log[/b]), запакуйте его и прикрепите к следующему сообщению

Сделайте новые логи AVZ и ComboFix

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-2964248019-8582334640-535456727-3969\wmfcgr.exe - [B]Trojan.Win32.VBKrypt.ia[/B] ( DrWEB: Trojan.Inject.8502, BitDefender: Trojan.Generic.3600853, AVAST4: Win32:VB-OTY [Drp] )[*] c:\recycler\s-1-5-21-5869007495-7273206588-585893195-7870\wmfcgr.exe - [B]P2P-Worm.Win32.Palevo.xmr[/B] ( DrWEB: Trojan.MulDrop1.9814, BitDefender: Worm.Generic.234391, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\syre32.exe - [B]Trojan.Win32.VB.admh[/B] ( DrWEB: Trojan.Packed.19824, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\umdmgr.exe - [B]Trojan.Win32.VBKrypt.hz[/B] ( DrWEB: Trojan.Packed.19823 )[*] c:\windows\system32\43.exe - [B]Trojan.Win32.VBKrypt.ia[/B] ( DrWEB: Trojan.Inject.8502, BitDefender: Trojan.Generic.3600853, AVAST4: Win32:VB-OTY [Drp] )[/LIST][/LIST]