trojan.encoder или что-то подобное

Утром, после включения компьютера, заметил странные тормоза. В диспетчере задач обнаружил процесс с именем VLOBPULQ.exe. Выгрузил его, в автозапуске так же есть запись c:\windows\system32\VLOBPULQ.exe.
Все rar, zip, jpg, txt теперь выглядят как tmp.txt.crypted. :(
Пытался воспользоваться утилитами от dr.web для лечения trojan.encoder - ни одна не помогла. Файла crypted.txt в c:\ нет.
UPD: среди удаленных файлов нашлась вот такая зараза: 63a5e3fd.exe infected with BackDoor.Siggen.25631. Дата создания - вчера.

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
QuarantineFile('C:\Windows\system32\DRIVERS\m5288.sys','');
QuarantineFile('C:\Windows\system32\DRIVERS\m5287.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
Логи повторите.

При выполнении первого скрипта, AVZ вылетает с ошибкой. (см. вложение)
ОС windows 7.

ОС windows 7, какая битность?
Так попробуем:

[CODE]
begin
QuarantineFile('C:\Windows\system32\DRIVERS\m5288.sys','');
QuarantineFile('C:\Windows\system32\DRIVERS\m5287.sys','');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
SetAVZPMStatus(True);
end.
[/CODE]

Далее второй скрипт из сообщения #2 и заливайте карантин на анализ.

Все сделал.
Windows 32-битная.

Результат загрузки
Файл сохранён как 100719_113251_quarantine_4c43ffa3cd968.zip
Размер файла 123054
MD5 64bd6ac68bfbbd819c7ff5116523b1be

Файлы чистые. Повторите лог virusinfo_syscure.zip

Вот

Сделайте лог [url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url]

Лог mbam

D:\1111\ - это вы папку создали?
Удалите в MBAM:
[CODE]
Зараженные параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\forceclassiccontrolpanel (Hijack.ControlPanelStyle) -> No action taken.

Зараженные файлы:
D:\1111\VLOBPULQ.exe (Trojan.Agent) -> No action taken.
[/CODE]
Файл C:\Windows\System32\GreenFields.scr проверьте на virustotal.com результат проверки сообщите.

Да, папку D:\1111\ создал я и восстановил в нее удаленный .exe программы, которая была прописана в автозапуске.

Результат проверки C:\Windows\System32\GreenFields.scr
[url]http://www.virustotal.com/ru/analisis/20e54a0b4cd50817096d9f32efd813cd839de5ed39e21dc7861bd2811ccae030-1279531152[/url]

Что с состоянием машины на данный момент?

[QUOTE=миднайт;672616]Что с состоянием машины на данный момент?[/QUOTE]
Да все нормально. Всю нечисть из автозагрузки + вот это 63a5e3fd.exe infected with BackDoor.Siggen.25631, я еще вчера вычистил. Проверил последним dr.web cure it, он ничего больше не находит.
Мне бы файлы зашифрованные восстановить :(

Обратитесь вот сюда ([URL="http://vms.drweb.com/sendvirus/"]http://vms.drweb.com/sendvirus/[/URL]). Выберите категорию "Запрос на лечение".
Отправьте в архиве пару зашифрованных файлов. В "комментариях" подробно опишите проблему. Стоит немного подождать ответа от вирлаба Dr.Web

[QUOTE=DefesT;672633]Обратитесь вот сюда ([URL="http://vms.drweb.com/sendvirus/"]http://vms.drweb.com/sendvirus/[/URL]). Выберите категорию "Запрос на лечение".
Отправьте в архиве пару зашифрованных файлов. В "комментариях" подробно опишите проблему. Стоит немного подождать ответа от вирлаба Dr.Web[/QUOTE]
Вчера отправил, пока молчат.
Вот тут обещают в ближайшее время выложить утилиту для расшифровки
[url]http://forum.drweb.com/index.php?showtopic=294164&pid=430852&st=0&#entry430852[/url]

тогда надо чуток подождать :)

[url]ftp://ftp.drweb.com/pub/drweb/tools/te47decrypt.exe[/url] - утилита для расшифровки.

Всё расшифровалось? Впрочем, с проблемами лучше прямо на тот форум.

[QUOTE=pig;672754]Всё расшифровалось? Впрочем, с проблемами лучше прямо на тот форум.[/QUOTE]
Пока никаких проблем не заметил, все ок.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]