Банер 3381

Был банер с номером 3381. Стандартные методы не помогли, полез сюда, увидел кучу тем про этот банер, прочел и стал делать загрузочный диск. Сделал загрузочный диск, но применять не пришлось. Банер пропал и всё разблокировалось, не знаю что помогло из моих действий. Параметр в реестре AppInit_DLLs пустой.
Выполнил правила и прикладываю логи:

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\system volume information\whistler\svchost.exe');
QuarantineFile('C:\System Volume Information\Whistler\smss.exe','');
QuarantineFile('c:\program files\internet explorer\wmpscfgs.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\hyssa.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\quwckqfj.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\qhvyexmi.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\pslrgfix.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\ezriacds.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\cdrom.sys','');
QuarantineFile('c:\system volume information\whistler\svchost.exe','');
DeleteFile('c:\system volume information\whistler\svchost.exe');
DeleteFile('C:\System Volume Information\Whistler\smss.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\ezriacds.sys');
DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\pslrgfix.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\qhvyexmi.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\quwckqfj.sys');
DeleteFile('C:\WINDOWS\system32\hyssa.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('c:\program files\internet explorer\wmpscfgs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','kiquouvu');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteService('ezriacds');
DeleteService('protect');
DeleteService('pslrgfix');
DeleteService('qhvyexmi');
DeleteService('quwckqfj');
DeleteFileMask('%windir%\Tasks', 'At*.job', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

Готово.

c:\windows\system32\msgsvc.dll проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url]
Ссылку на результат проверки сообщите

Эти файлы
[QUOTE]c:\windows\system32\grpconv.exe
c:\windows\system32\drivers\cdrom.sys[/QUOTE]восстановите с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

В имена этих файлов
[code]<pre>
c:\program files\uTorrent\utorrent .exe
c:\windows\system32\ctfmon .exe
</pre>[/code]вирус дописал лишние пробелы перед расширением. Удалите эти пробелы

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\documents and settings\Катя\veas.exe
c:\windows\system32\wuaucldt.exe
c:\windows\system32\userini.exe
c:\documents and settings\Катя\Application Data\Microsoft\moorouqu.exe
c:\windows\System32\Drivers\zwgeccag.sys

Driver::
zwgeccag

Folder::

Registry::
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSConfig]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\syncman]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\userini]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ziquuloug]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\Program Files\\uTorrent\\utorrent.exe"=
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\uTorrent]
"command"="c:\program files\uTorrent\utorrent.exe"

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Пролечитесь [url]http://virusinfo.info/showpost.php?p=306441&postcount=2[/url]

Сделайте новые логи

[url]http://www.virustotal.com/ru/analisis/72f6bc849de6a399467a491c680b85082198ffa07ef47ed57464cb9477f094c1-1275976388[/url]

Готово.

Пролечитесь с любого LiveCD ([url]http://virusinfo.info/showthread.php?t=15927)[/url]. После этого новые логи по правилам

Странно, помню что уже лечился с LiveCD Dr.web, даже диск до сих пор на столе лежит, хотя сам бы я лайв сд использовать не стал, но не вижу этой рекомендации в теме.
Ладно, повторю.

Извините, был в отпуске. Проблема решена, т.к. комп пришлось отформатировать по другим причинам.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]