SOS wndrive32 и msvmiode.exe

[ATTACH]246895[/ATTACH]

[ATTACH]246896[/ATTACH]

[ATTACH]246897[/ATTACH]

Добрый вечер,
у меня серьезная проблема (на мой взгляд)
проподают драйвера звука,меняются цвета панели,пропал и-эксплорер(обнаружил это когда следовал вашему приготовлению к посту) ,рубит инет (эти два гада заблокировали мне исходящий конект в нет-лимитере,я это обнаружил и вернул на место) вообщем я в отчаяние.Помогите пожалуста.

1.не дал поднять сэйф моуд ( сканировал cureit в обычном режиме)
2.хайджек не было на их сайте зипа (только инсталка и ехе файл) я сразу взял ваш переименованный и сделал лог через него.

Заранее огромное спасибо!

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\wndrive32.exe
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe (file missing)
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\wndrive32.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0329752669-1549805066-353582236-2689\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0329752669-1549805066-353582236-2689\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
QuarantineFile('C:\RECYCLER\S-1-5-21-0952581812-2327912731-849726858-6514\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0952581812-2327912731-849726858-6514\syscr.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\wndrive32.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_DeleteFile('C:\WINDOWS\wndrive32.exe');
BC_DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

вопрос перед этим всем.
Выполнять эти действия с:
Выключеным инетом
Выключеном нет лимитером
Выключеным антивирусом (хотя я его уже даже не вижу в трее)
и может еще надо что то отключить или включить?

Спасибо и извиняюсь за вопросы.

выполняйте скрипты

[ATTACH]246932[/ATTACH]

[ATTACH]246935[/ATTACH]

Сделал как Вы мне сказали.
После запуска первого скрипта(в конце процесса) нортон выдал наверху ошибку с найденым каким то гадом,потух экран,остался только курсор от мышки.всё произошло буквально за секунду,поэтому не смог увидить кого нашел нортон.
Перезагрузился кнопкой reset

ПЛИЗ ХЕЛП

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Program Files\NetLimiter 2 Pro\nlsvc.exe','');
DelBHO('{6C517674-DE1C-4493-977C-34A1BFAB35BA}');
QuarantineFile('C:\Program Files\VirtualNetwork\VirtualNetwork.dll','');
TerminateProcessByName('c:\windows\wndrive32.exe');
DeleteFile('c:\windows\wndrive32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6648904212-1886490530-374302022-2714\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\wndrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
BC_DeleteFile('C:\WINDOWS\wndrive32.exe');
DeleteFile('C:\Program Files\VirtualNetwork\VirtualNetwork.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]

Сделал все.История с нортоном повторилась, ругнулся,выдал что то.комп выдал сообщение о перезагрузки,экран потух остался курсор мышки.перезагрузился рисэтом

[ATTACH]247072[/ATTACH]

[ATTACH]247073[/ATTACH]

[ATTACH]247074[/ATTACH]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Documents and Settings\Michael\Local Settings\Temp\576.exe','');
QuarantineFile('C:\Documents and Settings\Michael\Local Settings\Temp\556.exe ','');
QuarantineFile('C:\Documents and Settings\Michael\Local Settings\Temp\002.exe','');
QuarantineFile('C:\WINDOWS\system32\termsrv.dll','');
QuarantineFile('C:\WINDOWS\system32\87.exe','');
QuarantineFile('C:\WINDOWS\system32\86.exe','');
QuarantineFile('C:\WINDOWS\system32\60.exe ','');
QuarantineFile('C:\WINDOWS\system32\41.exe','');
QuarantineFile('C:\WINDOWS\system32\40.exe','');
QuarantineFile('C:\WINDOWS\system32\32.exe ','');
QuarantineFile('C:\WINDOWS\system32\30.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe ','');
QuarantineFile('C:\WINDOWS\system32\26.exe','');
QuarantineFile('C:\WINDOWS\system32\25.exe','');
QuarantineFile('C:\WINDOWS\system32\16.exe','');
QuarantineFile('C:\WINDOWS\system32\04.exe','');
QuarantineFile('C:\WINDOWS\system32\02.exe ','');
QuarantineFile('C:\WINDOWS\system32\00.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\Y7CFYDAH\663x[1].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WRAHOXCL\6333[1].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\S9YNA9KJ\663x[1].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0LMP8ZUT\663x[1].exe ','');
QuarantineFile('C:\Documents and Settings\Michael\Local Settings\Temporary Internet Files\Content.IE5\WXYVGX6Z\663x[1].exe','');
DeleteFile('C:\Documents and Settings\Michael\Local Settings\Temporary Internet Files\Content.IE5\WXYVGX6Z\663x[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0LMP8ZUT\663x[1].exe ');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\S9YNA9KJ\663x[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\WRAHOXCL\6333[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\Y7CFYDAH\663x[1].exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1880850432-8530585477-090210599-4062\syscr.exe');
DeleteFile('C:\WINDOWS\system32\00.exe');
DeleteFile('C:\WINDOWS\system32\02.exe ');
DeleteFile('C:\WINDOWS\system32\04.exe');
DeleteFile('C:\WINDOWS\system32\16.exe');
DeleteFile('C:\WINDOWS\system32\25.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
DeleteFile('C:\WINDOWS\system32\28.exe ');
DeleteFile('C:\WINDOWS\system32\30.exe');
DeleteFile('C:\WINDOWS\system32\32.exe ');
DeleteFile('C:\WINDOWS\system32\40.exe');
DeleteFile('C:\WINDOWS\system32\41.exe');
DeleteFile('C:\WINDOWS\system32\60.exe ');
DeleteFile('C:\WINDOWS\system32\86.exe');
DeleteFile('C:\WINDOWS\system32\87.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\wndrive32.exe');
DeleteFile('C:\Documents and Settings\Michael\Local Settings\Temp\002.exe');
DeleteFile('C:\Documents and Settings\Michael\Local Settings\Temp\556.exe ');
DeleteFile('C:\Documents and Settings\Michael\Local Settings\Temp\576.exe');
DeleteFileMask('C:\Documents and Settings\Michael\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
DeleteFileMask('C:\Documents and Settings\Michael\Local Settings\Temp', '*.exe', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]Combofix[/URL]

вроде все прошло нормально... надеюсь :)
[ATTACH]247114[/ATTACH]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('c:\windows\system32\deployJava1.dll','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

[size="1"][color="#666686"][B][I]Добавлено через 42 секунды[/I][/B][/color][/size]

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]

пропала языковая панель... и этих досих пор вижу в процессах.ограничел им доступ в нэтлимитере

есть!
[ATTACH]247131[/ATTACH]

- удалите в MBAM
[CODE]
Зараженные процессы в памяти:
C:\WINDOWS\system32\msvmiode.exe (Malware.Packer.Gen) -> No action taken.
C:\WINDOWS\wndrive32.exe (Malware.Packer.Gen) -> No action taken.

Зараженные модули в памяти:
c:\WINDOWS\system32\termsrv.dll (Trojan.Downloader) -> No action taken.

Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\Interface\{8cb0d898-a6a2-48c3-bbd7-862f85b18d46} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Typelib\{431d251c-b43a-47d7-b4f4-07a101b432d6} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\termservice (Trojan.Downloader) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msodesnv7 (Malware.Packer.Gen) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\microsoft driver setup (Malware.Packer.Gen) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\microsoft driver setup (Malware.Packer.Gen) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Trojan.Agent) -> No action taken.


Зараженные файлы:
C:\WINDOWS\system32\msvmiode.exe (Malware.Packer.Gen) -> No action taken.
C:\WINDOWS\wndrive32.exe (Malware.Packer.Gen) -> No action taken.
C:\Documents and Settings\Michael\Local Settings\temp\195.exe (Malware.Packer.Gen) -> No action taken.
C:\Documents and Settings\Michael\Local Settings\temp\239.exe (Malware.Packer.Gen) -> No action taken.
C:\Documents and Settings\Michael\Local Settings\temp\797.exe (Malware.Packer.Gen) -> No action taken.
C:\Documents and Settings\Michael\Local Settings\Temporary Internet Files\Content.IE5\K9IV4DMV\calcz[1].data (Malware.Packer.Gen) -> No action taken.
C:\Documents and Settings\Michael\Local Settings\Temporary Internet Files\Content.IE5\OPY785EJ\msall[1].new (Malware.Packer.Gen) -> No action taken.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\QBA9O705\663x[1].exe (Trojan.Agent) -> No action taken.
C:\Qoobox\Quarantine\C\WINDOWS\system32\08.exe.vir (Trojan.Agent) -> No action taken.
C:\Qoobox\Quarantine\C\WINDOWS\system32\27.exe.vir (Trojan.Agent) -> No action taken.
C:\Qoobox\Quarantine\C\WINDOWS\system32\66.exe.vir (Trojan.Agent) -> No action taken.
C:\Qoobox\Quarantine\C\WINDOWS\system32\78.exe.vir (Trojan.Agent) -> No action taken.
C:\Qoobox\Quarantine\C\WINDOWS\system32\msvmiode.exe.vir (Malware.Packer.Gen) -> No action taken.
C:\RECYCLER\S-1-5-21-4994149996-5007373759-241993786-4204\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\System Volume Information\_restore{4426B1F7-F36D-4E29-87FF-CC4D6B8EA2C2}\RP1\A0000027.exe (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4426B1F7-F36D-4E29-87FF-CC4D6B8EA2C2}\RP1\A0000028.exe (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4426B1F7-F36D-4E29-87FF-CC4D6B8EA2C2}\RP1\A0000029.exe (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4426B1F7-F36D-4E29-87FF-CC4D6B8EA2C2}\RP1\A0000030.exe (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4426B1F7-F36D-4E29-87FF-CC4D6B8EA2C2}\RP1\A0000031.exe (Trojan.Agent) -> No action taken.
C:\System Volume Information\_restore{4426B1F7-F36D-4E29-87FF-CC4D6B8EA2C2}\RP1\A0000032.exe (Malware.Packer.Gen) -> No action taken.
C:\WINDOWS\system32\43.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\81.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\86.exe (Trojan.Agent) -> No action taken.
[/CODE]

повторите лог MBAM

удалил,после чего немного подождал и сделал лог.
Оба вредителя появились в процесах опять
[ATTACH]247241[/ATTACH]

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

обновите систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- поставте [URL="http://www.adobe.com/go/EN_UK-H-GET-READER"]Adobe Reader 9.3[/URL] или удалите старый.

после обновления делайте новый комплект логов

не чего себе я попал.....

[size="1"][color="#666686"][B][I]Добавлено через 41 минуту[/I][/B][/color][/size]

установил пак, нортон выдаёт вот такой алерт

Scan type: Auto-Protect Scan
Event: Threat Found!
Threat: W32.Spybot.Worm
File: C:\WINDOWS\system\VMwareService.exe
Location: C:\WINDOWS\system
Computer: PENTIUMD
User: SYSTEM
Action taken: Clean failed : Quarantine failed : Delete succeeded : Access denied
Date found: 18 èþíÿ 2010 ã. 6:44:47

Пришлите файл [B]C:\WINDOWS\system\VMwareService.exe [/B]запакованным в архив ZIP с паролем: [COLOR="Red"]virus[/COLOR] по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

файла нету.
не в указаной папке,не через ctrl-f
в фолдер опшенс переставил чтоб отображались скрытые файлы тоже,и все равно нету

обновитесь полностью и делайте логи