userini в explorer'е, wvp[цифры].exe, protect.sys

Здравствуйте! Ситуация началась с падения nod32 2.7 (ошибка связи с ядром), потерей связи с интернет и ошибок в локальной сети. Запустил CureIT на всех машинах - нашел несколько вирусов, но ситуация не изменилась. Запустил AVZ, он нашел userini, protect.sys - удалил вручную (не скриптом), после перезагрузки userini снова в системе, а также в автозагрузке.

Прошелся Trojan Remover - userini, wpv[цифры].exe - удалил, перезагрузил. На некоторых машинах помогло, но не на всех... wpv висит в процессах, но уже с другими цифрами, убивается вручную, но это не выход. Интернет в сети пока работает, но не знаю на долго ли. Возможно, в системе сидит еще какая-то дрянь (опыт не позволяет определить). Прошу помощи.

Профиксить:
[CODE]O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
[/CODE]
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\protect.sys','');
DeleteService('protect');
DeleteFile('C:\WINDOWS\System32\Drivers\protect.sys');
QuarantineFile('C:\WINDOWS\LastGood\explorer.exe:userini.exe:$DATA ','');
DeleteFile('C:\WINDOWS\LastGood\explorer.exe:userini.exe:$DATA ');
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\rmhcuoud.sys','');
DeleteService('rmhcuoud');
QuarantineFile('C:\WINDOWS\System32\Drivers\oervadwe.sys','');
DeleteService('oervadwe');
QuarantineFile('C:\WINDOWS\System32\Drivers\kgeivluj.sys','');
DeleteService('kgeivluj');
TerminateProcessByName('c:\windows\temp\wpv281272465328.exe');
QuarantineFile('c:\windows\temp\wpv281272465328.exe','');
QuarantineFile('c:\windows\explorer.exe:userini.exe','');
TerminateProcessByName('c:\windows\explorer.exe:userini.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe');
DeleteFile('c:\windows\temp\wpv281272465328.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\kgeivluj.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\oervadwe.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\rmhcuoud.sys');
DeleteFile('C:\WINDOWS\system32\userini.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторить логи.
Прислать карантин по Правилам.

Ваш скрипт помог, но после выполнения стандартного "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" и перезагрузки FastScan Trojan Remover'а снова фиксирует активность и wpv опять в процессах...

Пофиксите в HiJack
[CODE]O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\temp\wpv111272465034.exe');
QuarantineFile('C:\WINDOWS\system32\wbem\grpconv.exe','');
DeleteFile('C:\WINDOWS\system32\wbem\grpconv.exe');
QuarantineFile('C:\WINDOWS\explorer.exe','');
QuarantineFile('c:\windows\temp\wpv111272465034.exe','');
DeleteFile('c:\windows\temp\wpv111272465034.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Выполнил. Карантин выслал оба раза по правилам (через ссылку). FastScan отмечает utuxodkz.sys

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

[QUOTE='zocs;629851'] FastScan отмечает utuxodkz.sys[/QUOTE]
Не волнуйтесь, это наш драйвер.

Выполнил. Может ли эта зараза распространяться по локальной сети? Или же остальные компьютеры были заражены, к примеру, через флешку? Можно ли, в моем случае, из перечисленных выше скриптов склеить один и попробовать на других машинах или все-таки для каждого компьютера отдельную тему создавать? wpv[цифры].exe присутствует на нескольких компах, так же как и protect.sys

Из-за драйверов со случайными именами, которые я удалял в первом скрипте, универ. скрипт не получится.
Надо открывать новые темы для других компьютеров в сети.

На этом компьютере надо еще вот с этим protect.sys разобраться.

[QUOTE='PavelA;630134']На этом компьютере надо еще вот с этим protect.sys разобраться.[/QUOTE]Так ведь он удален уже ;)

В последних логах запись есть:
[QUOTE]protect
Драйвер: Выгрузить, Удалить, Отключить protect Не запущен protect.sys
Скрипт: Kарантин, Удалить, Удалить через BC System Bus Extender[/QUOTE]

ОТ: Я не на рабочем месте. Карантины не смотрю.

Действительно есть...

Выполните скрипт в AVZ
[code]begin
DeleteService('protect');
DeleteFile('protect.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip

Выполнил. С остальными машинами попробую разобраться сам (было бы кстати, если бы мою заявку в "студенты" вскоре приняли). Спасибо вам за помощь. Обязательно как-нибудь отблагодарю.

Чисто

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Обновите [url="http://www.java.com/ru/download/manual.jsp"]JavaRE[/url]

[QUOTE='zocs;630207']было бы кстати, если бы мою заявку в "студенты" вскоре приняли[/QUOTE] Примем. Этим у нас Ник Головко занимается.

Спасибо!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\explorer.exe:userini.exe - [B]Packed.Win32.Krap.x[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )[*] c:\windows\explorer.exe:userini.exe:$data - [B]Packed.Win32.Krap.x[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )[*] c:\windows\lastgood\explorer.exe:userini.exe:$data - [B]Packed.Win32.Krap.x[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )[*] c:\windows\system32\wbem\grpconv.exe - [B]Packed.Win32.Krap.gy[/B] ( DrWEB: Trojan.Botnetlog.158, BitDefender: Trojan.Spammer.Tedroo.CG, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\windows\temp\wpv111272465034.exe - [B]Packed.Win32.Krap.x[/B] ( BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )[*] c:\windows\temp\wpv281272465328.exe - [B]Packed.Win32.Krap.x[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BN, AVAST4: Win32:Bredolab-DE [Trj] )[/LIST][/LIST]