Win32/Olmarik в оперативке, nod 32 и drweb cureit не помогли

после запуска файла setup.exe с отключённым нодом, получил проблему в виде неудаляемого виря.
что можно сделать чтобы его удалить?:?

Для начала уберите вредоносный файл из вложений.

[B]Olejah[/B], удалил.
счас ещё в безопасном режиме сделаю логи на avz , тоже выложу.

Их надо сделать в обычном режиме, это возможно?

ок, счас просто решил попробовать cureit на безопасном прогнать, вобщем пишет тоже что и раньше
процесс в памяти C:\Windows\System32\svchost.exe:684 BackDoor.Tdss.565 Обезврежен
но после ребута нод опять ругается.

сейчас жду пока скрипт для сборки логов на AVZ закончит свою работу.(сейчас windows запущена в обычном режиме)

Давайте пежде чем дальше бороться, проверьтесь так - [URL="http://support.kaspersky.ru/faq/?qid=208636926"]http://support.kaspersky.ru/faq/?qid=208636926[/URL], и приложите лог сюда -

[QUOTE]По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.2.4.0_23.07.2010_15.31.43_log.txt[/QUOTE]

вот все логи что я получил

решил поиском прошерстить папку windows
на наличие изменений после запуска того файла
нашёл такое

C:\Users\X3\AppData\Local\Microsoft\Internet Explorer\Recovery\Last Active\{FD8D26BB-9E03-11DF-99B4-DF7C730125B4}
C:\Users\X3\AppData\Local\Microsoft\Internet Explorer\Recovery\Last Active\RecoveryStore.{9E8B8A2C-8B9F-11DF-993A-0019DBCA3B50}

открываются 7-zip'ом
вот скрин содержимого
[URL=http://radikal.ru/F/s07.radikal.ru/i180/1008/36/48ec07443c86.jpg.html][IMG]http://s07.radikal.ru/i180/1008/36/48ec07443c86t.jpg[/IMG][/URL]

эксплорером не пользуюсь.

также после заражения при открытии страничек в опере стало дополнительно открывать какието непонятные адреса.
нод сразу их лочит и выскакивает окошко с примерно таким содержимым (каждый раз меняется)
[URL=http://radikal.ru/F/i073.radikal.ru/1008/6a/2e56c12ae787.jpg.html][IMG]http://i073.radikal.ru/1008/6a/2e56c12ae787t.jpg[/IMG][/URL]

в адресной строке оперы выскакивает такое
[URL=http://radikal.ru/F/s54.radikal.ru/i143/1008/6f/1be14263d340.jpg.html][IMG]http://s54.radikal.ru/i143/1008/6f/1be14263d340t.jpg[/IMG][/URL]

[QUOTE]Внимание !!! База поcледний раз обновлялась 08.07.2010 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]

- Надо бы обновить базы у АВЗ.

Лог TDSSKiller какой-то оборванный получился, повторите его.

вот TDSS и HiJack только что сделал.
а насчёт AVZ обновлятся он отказывался, пробовал тогда обновлятся, он отказывался с двух серверов.
сейчас обновился.
просканю ею по новой и выложу логи

avz logs

1. Выполните скрипт в AVZ:

[CODE]begin
SetAVZPMStatus(false);
ExecuteStdScr(6);
RebootWindows(true);
end.[/CODE]

2. Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=78057[/url] в режиме ordinary.

[B]Aleksandra[/B],вот

CureIt все еще обнаруживает вирус?

[B]Aleksandra[/B], да.
причём обнаруживает , пишет что обезврежен.
закрываю , потом опять откоываю cureit уже не находит(однако нод всё это время говорит что вирь есть.)
после ребута нод опять показывает, и куре ит тоже.

Пролечитесь с помощью Dr.Web LiveCD: [url]http://www.freedrweb.com/livecd/?lng=ru[/url]

[B]Aleksandra[/B], тут проблема с лив сиди
у меня стоит ОС на VHD , т.е. на виртуальном жёстком диске..
и получается при просмотре с других ОС кроме Вин7 такая штука - С диск располагается на Е диске в виде отельного файла с расширением .vhd
и просканировать С диск из вне не получится.
что делать в такой ситуации?

PS но я всё равно поставлю сканировать на ночь комп. может дрвеб умеет распаковывать этот vhd..

[size="1"][color="#666686"][B][I]Добавлено через 9 часов 2 минуты[/I][/B][/color][/size]

cure it .vhd сканировать отказывается.

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 6 минут[/I][/B][/color][/size]

итак, путём размышлений по поводу этого бэкдора, вышла идея что он может находится в vhdmp.sys
так как это тотже atapi.sys(он для жёстких дисков IDE) но для VHD(virtual hard disk)
соответсвенно бэк туда и полез.
до этого сканировал несколькими утилитами, одна из них (TDSS remover esageLab или ComboFix уже не помню точно) просто положила систему.. восстановление с установочного диска , с помощью chkdsk толку не давала.
восстановил только с помощью пункта загрузка с последней удачной конфигурацией.
после этого сканил ещё несколькими утилитами, в результате некоторые писали что есть TDSS но найти не могли, а одна нашла и во время нахождения нод начал кричать на файл C:/windows/system32/drivers/vhdmp.sys что он заражён этим olmarik'om но файл удалить не может. а тот ремовер([url]http://www.secureblog.info/files/TDSSKiller.rar[/url]) предложил ребутнутся и удалить этот файл.
вобщем посмотрел свойства этого драйвера , и как оказалось он был изменён недавно.
после этого я заменил этот файл на оригинальный, и ребутнул комп.
результат таков
нод молчит
куреит молчит
VBAantirootkit скрытых драйверов не находит (а раньше были)

прикладываю лог

Да, в логе антируткита никаких аномалий не видно.