avast:Слишком много идентичных электронных писем в определенное время.

Добрый вечер.Помогите,плиз,изловить "заразу"!

avast постоянно пишет(при подключении к интернету):

Слишком много идентичных электронных писем в определенное время.


1)В безопасном режиме:
при проверке компа куриетом:
-проверка идет крайне медленно,
-в какой-то момент комп уходит на перезагрузку.
при проверке AVP:
-нашел пару вирусов,удалил.
-в дальнейшем(при обычной загрузке) снова появляются указанные сообщения от аваста.

2)При дозагрузочной проверке авастом всякая гадость была обнаружена в папках system volume information и temporary internet files(что-то удалено,на что-то не было доступа).

3)Также заметил,что изменился hosts(почти до 5 мб!!!),исправил вручную,вышел в инет,все нормально,минут через 5 снова появляются сообщения
от аваста о сообщениях и изменяется hosts(вернее,сперва,Hosts меняется).
Видимо подцепил где-то чудо-рассыльщик,который теперь постоянно меняет hosts(а может и еще где гадит).

4)Аваст после загрзки системы и включения интернета выдает подозрение на malware(руткит,скрытый процесс) по адресу C:\windows\system32\winupd01.exe

5)AVZ после запуска самопроизвольно закрывался(серез 10-15 сек),до переименования оного(pereimenov.com.exe).
HijackThis тоже(скачал по вашей ссылке game.exe).После проведенной проверки("Do a system scan and save a logfile")-на секунду синее окно и перезагрузка.

На всякий случай:По браузерам-используется опера.IE установлен,но не используется совсем.

Заранее спасибо!

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\dogouwegov.exe');
TerminateProcessByName('c:\docume~1\1\locals~1\temp\5436468 .exe');
TerminateProcessByName('c:\windows\system32\nemibe.exe');
QuarantineFile('C:\Documents and Settings\1\Application Data\ahrg.exe','');
QuarantineFile('C:\System Volume Information\_restore{F918BC58-45AA-4FE0-9C45-66E428BA9339}\RP128\A0062505.exe:exe.exe:$DATA','');
QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
QuarantineFile('C:\Windows\RUNXMLPL.exe','');
QuarantineFile('C:\Documents and Settings\1\Application Data\yrpv.exe','');
QuarantineFile('C:\WINDOWS\system32\gevi.exe','');
QuarantineFile('C:\WINDOWS\system32\lidoowibou.exe','');
QuarantineFile('c:\windows\system32\winupd01.exe','');
QuarantineFile('c:\windows\system32\nemibe.exe','');
QuarantineFile('C:\Documents and Settings\1\Application Data\zwlr.exe','');
QuarantineFile('C:\Documents and Settings\1\Application Data\yrpv.exe,C:\Documents and Settings\1\Application Data\ahrg.exe,explorer.exe,C:\Documents and Settings\1\Application Data\zwlr.exe','');
QuarantineFile('c:\windows\system32\dogouwegov.exe','');
QuarantineFile('c:\docume~1\1\locals~1\temp\5436468 .exe','');
DeleteFile('c:\docume~1\1\locals~1\temp\5436468 .exe');
DeleteFile('c:\windows\system32\dogouwegov.exe');
DeleteFile('C:\Documents and Settings\1\Application Data\yrpv.exe,C:\Documents and Settings\1\Application Data\ahrg.exe,explorer.exe,C:\Documents and Settings\1\Application Data\zwlr.exe');
DeleteFile('C:\Documents and Settings\1\Application Data\zwlr.exe');
DeleteFile('c:\windows\system32\nemibe.exe');
DeleteFile('c:\windows\system32\winupd01.exe');
DeleteFile('C:\WINDOWS\system32\lidoowibou.exe');
DeleteFile('C:\WINDOWS\system32\gevi.exe');
DeleteFile('C:\Documents and Settings\1\Application Data\yrpv.exe');
DeleteFile('C:\Windows\RUNXMLPL.exe');
DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{F918BC58-45AA-4FE0-9C45-66E428BA9339}\RP128\A0062505.exe:exe.exe:$DATA');
DeleteFile('C:\Documents and Settings\1\Application Data\ahrg.exe');
DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{F918BC58-45AA-4FE0-9C45-66E428BA9339}\RP128\A0062505.exe:exe.exe:$DATA');
DeleteFile('C:\Documents and Settings\1\Application Data\ahrg.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gucu');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','loussupal');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','preload');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gucu');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
DeleteService('eou6gbe3yeav5o');
DeleteService('ag4yaexiwy');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(6);
ExecuteREpair(9);
ExecuteREpair(13);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Карантин прислать после выполнения скрипта?(а то я что-то поспешил)

Обратите внимание, скрипт был подкорректирован.

Карантин высылать после выполнения скрипта

хорошо

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

выслал карантин.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

"Сделайте новые логи"
Это повторить создание AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log ?

[QUOTE='Needhelp;617595']Это повторить создание[/QUOTE]Да

Хорошо,сейчас сделаю.
Их тоже присылать?

P.S. спасибо за помощь.

[QUOTE='Needhelp;617605']Их тоже присылать?[/QUOTE]Их надо прикрепить к следующему сообщению.

ок

новые логи

[B]thyrex[/B],куда ж Вы удалились?:(

[size="1"][color="#666686"][B][I]Добавлено через 47 минут[/I][/B][/color][/size]

Проверил с инетом.Вроде все тихо.Hosts не изменяется,avast молчит.:)
[B]Странствующий хэлпер[/B],можно считать,что выявление и экзекуция зловреда(ов) окончена или последние присланные логи могут еще какие-нибудь гадости показать?

Что за "чудо" было?Откуда "пролезло"? Какие меры предпринять для последующего незаражения?

[QUOTE='Needhelp;617617']куда ж Вы удалились?[/QUOTE]Ну отдыхать-то надо все-таки :)

[QUOTE='Needhelp;617617']Что за "чудо" было?[/QUOTE]А их много у Вас было. [B]Net-Worm.Win32.Kolab.hoy, Packed.Win32.Krap.gy, Trojan.Win32.Agent.drcq[/B] + еще куча неизвестных зверей

Выполните скрипт в AVZ
[code]begin
DeleteFile('C:\System Volume Information\_restore{F918BC58-45AA-4FE0-9C45-66E428BA9339}\RP128\A0064560.exe:exe.exe:$DATA');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip

[QUOTE='Needhelp;617617']Откуда "пролезло"?[/QUOTE]Через дыры в системе. Я думаю обновления на систему вряд ли установлены все вышедшие после SP3

syscheck

Порядок

[B]thyrex[/B],писал Вам в личку(по Авасту и т.п.) ответьте,плиз.

Выбор антивируса - дело вкуса пользователя.

[B]Ни один[/B] разработчик антивирусных решений не дает [B]100%[/B] гарантии защиты

[B]thyrex[/B],спасибо Вам еще раз за оперативную помощь!!!!!!!;):beer:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]41[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\1\application data\ahrg.exe - [B]P2P-Worm.Win32.Palevo.aash[/B] ( DrWEB: Trojan.MulDrop1.12950, BitDefender: Backdoor.Tofsee.BU, AVAST4: Win32:Flot-E [Trj] )[*] c:\documents and settings\1\application data\zwlr.exe - [B]Net-Worm.Win32.Kolab.hoy[/B] ( DrWEB: Trojan.MulDrop.55658, BitDefender: Trojan.VB.Agent.ER, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\docume~1\1\locals~1\temp\5436468 .exe - [B]Packed.Win32.Krap.gy[/B] ( DrWEB: Win32.HLLC.Asdas.3, BitDefender: Trojan.Agent.APEO, AVAST4: Win32:Malware-gen )[*] c:\system volume information\_restore{f918bc58-45aa-4fe0-9c45-66e428ba9339}\rp128\a0062505.exe:exe.exe:$data - [B]Trojan.Win32.Inject.aojz[/B] ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Generic.3604041, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\dogouwegov.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\windows\system32\gevi.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\windows\system32\lidoowibou.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\windows\system32\nemibe.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\windows\system32\svchost.exe:exe.exe:$data - [B]Trojan.Win32.Agent.drcq[/B] ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Agent.APEO, AVAST4: Win32:Kates-AO [Trj] )[*] c:\windows\system32\winupd01.exe - [B]Backdoor.Win32.EggDrop.ana[/B] ( DrWEB: BackDoor.IRC.Bot.267, BitDefender: Backdoor.Tofsee.BS, AVAST4: Win32:Flot-E [Trj] )[/LIST][/LIST]