Вирусы svchost.dll и FakeAlertM

Здравствуйте. Помогите справиться с автораном: после загрузки системы появляется сообщение от антивируса про удаление некоторых зловредов из папки Local Settings (FakeAlertM). При проверке CureIt в безопасном режиме было удалено несколько вирусов, но не все:(. (не все определяет, в отличии от avz).

Необходимые файлы в приложении:

Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\АДМИНИ~1.ARP\LOCALS~1\Temp\tmpF57E.tmp[/CODE]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\msxslt3.exe','');
QuarantineFile('C:\WINDOWS\mssrvc\svchost.exe','');
QuarantineFile('c:\documents and settings\Максим\syncman.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\DOCUME~1\МАКСИМ\LOCALS~1\Temp\tzddl.exe','');
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\DOCUME~1\АДМИНИ~1.ARP\LOCALS~1\Temp\tmpF57E.tmp','');
DeleteFile('C:\DOCUME~1\АДМИНИ~1.ARP\LOCALS~1\Temp\tmpF57E.tmp');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
DeleteFile('C:\DOCUME~1\МАКСИМ\LOCALS~1\Temp\tzddl.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','cUcg0lmYLVAvoIMpxdDcP');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','SysRun');
DeleteFile('c:\documents and settings\Максим\syncman.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','syncman');
DeleteFile('C:\WINDOWS\mssrvc\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','svchost');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Скрипты выполнил. При загрузке попутно выслушал странное урчание системного блока.

Файлы в приложении (Карантин загрузил) :

[B]C:\WINDOWS\system32\Drivers\cdrom.sys[/B] замените чистым с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

Выполните скрипт в AVZ
[code]begin
DeleteFile('C:\WINDOWS\system32\msxslt3.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

Извините, что не смог сразу ответить. Загвоздка в том, что не cохранился диск с виндой, и могу ли я заменить cdrom.sys другим из второго сервис пака XP?Если нет, точто в этом случае делать. Есть ещё одно подозрение на вирус: в папке Local Settings есть скрытый экзешник msx.exe, который по описанию подходит под главного подозреваемого во всех моих бедах (и не опознается avz и CureIt), его описание прочел здесь:
[URL="http://www.threatexpert.com/report.aspx?md5=febff135ee99795e0dbf52c5ce4adecb"]http://www.threatexpert.com/report.aspx?md5=febff135ee99795e0dbf52c5ce4adecb[/URL]
Надеюсь на вашу помощь.

[QUOTE='Arpad;602477']могу ли я заменить cdrom.sys другим из второго сервис пака XP[/QUOTE]Думаю, можете. Но [B]только с системы с SP2[/B]

[QUOTE='Arpad;602477']в папке Local Settings есть скрытый экзешник msx.exe[/QUOTE]Запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Карантин выслал.

Это [B]Trojan-Downloader.Win32.Banload.asha[/B]

Удаляйте

Вирус удалил, вместе с msxslt3.exe (исходя из вашего верхнего поста). Теперь вопрос вот в чем: в dllcache существует также cdrom.sys без опознавательных знаков (невозможно узнать производителя и т.п.). По-видимому, он тоже заражен и требует замены на новый. (у него размер одинаковый с зараженным из system32).


P.S.:Надеюсь, что мучения мои движутся к завершению:)

[QUOTE='Arpad;602533']По-видимому, он тоже заражен и требует замены на новый. (у него размер одинаковый с зараженным из system32).[/QUOTE]Пришлите и его по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы, предварительно упаковав с паролем [B]virus[/B]

Проверим.

Файл отправлен.


P.S.: Спасибо за Ваше терпение и понимание.

Файл тоже заражен

Удалил зараженные файлы. Из неприятного осталось только погрюкивание системного блока при загрузке (до начала загр. винды) и чуток заторможенная загрузка самой винды. Для полной уверенности прилагаю повторные логи:

Плохого не увидел. В чем заключается
[QUOTE='Arpad;603385']погрюкивание системного блока при загрузке[/QUOTE]?

До загрузки самой винды из сист. блока доносится некоторое скрежетание, которое напоминает звук, когда проверяешь пустой флоппи-диск. Есть подозрение что это именно он и есть, т.к. в биосе по порядку загрузки идут cd-rom, потом Removable, а потом хард.

[QUOTE='Arpad;603460']Removable, а потом хард[/QUOTE]Так и есть

После отключения флоппи в биосе назойливый звук пропал. Огромное спасибо Вам за помощь!!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \cdrom.sys - [B]Trojan-Dropper.Win32.Agent.btcn[/B] ( DrWEB: Trojan.MulDrop1.6206, BitDefender: Rootkit.Kobcka.Patched.Gen, NOD32: Win32/Protector.H virus, AVAST4: Win32:Cutwail-AG [Trj] )[*] c:\windows\system32\drivers\cdrom.sys - [B]Trojan-Dropper.Win32.Agent.btcn[/B] ( DrWEB: Trojan.MulDrop1.6206, BitDefender: Rootkit.Kobcka.Patched.Gen, NOD32: Win32/Protector.H virus, AVAST4: Win32:Cutwail-AG [Trj] )[*] c:\windows\system32\msxslt3.exe - [B]Backdoor.Win32.Goolbot.bl[/B] ( DrWEB: Trojan.DownLoad.49872, BitDefender: Trojan.Agent.AOWG, AVAST4: Win32:MalOb-AL [Cryp] )[*] \mxs.exe - [B]Trojan-Downloader.Win32.Banload.asha[/B] ( DrWEB: Trojan.DownLoad1.44939, AVAST4: Win32:Malware-gen )[/LIST][/LIST]