Winlock, Hosts, MulDrop, DownLoader1, Panda

Утилитой ДрВеб убил 18 троянов. [B]AVZ [/B]заявляет, что есть в паке IE еще что-то.
Вот что нашел ДрВеб [QUOTE]0.3004931767915888.exe C:\DOCUME~1\Mama\LOCALS~1\Temp Trojan.Winlock.2519 Удален.
0.3538631393595313.exe C:\DOCUME~1\Mama\LOCALS~1\Temp Trojan.Winlock.2517 Удален.
0.990491104414939.exe C:\DOCUME~1\Mama\LOCALS~1\Temp Trojan.Hosts.1908 Удален.
6A6.tmp C:\DOCUME~1\Mama\LOCALS~1\Temp Trojan.MulDrop1.52443 Удален.
6A8.tmp C:\DOCUME~1\Mama\LOCALS~1\Temp Trojan.Hosts.2087 Неизлечим.Перемещен.
dwm.exe C:\DOCUME~1\Mama\LOCALS~1\Temp Trojan.DownLoader1.33147 Удален.
gogo.exe C:\DOCUME~1\Mama\LOCALS~1\Temp\tmp761302e3 Trojan.MulDrop1.52442 Удален.
ihamo.exe c:\documents and settings\mama\application data\ebtoy Trojan.PWS.Panda.387 Удален.

5c2c6cad-681c110a\bpac/a.class C:\Documents and Settings\Mama\Application Data\Sun\Java\Deployment\cache\6.0\45\5c2c6cad-681c110a Java.Downloader.128
5c2c6cad-681c110a C:\Documents and Settings\Mama\Application Data\Sun\Java\Deployment\cache\6.0\45 Архив содержит инфицированные объекты Перемещен.
106cf3-792b149b\h6l4.class C:\Documents and Settings\Mama\Application Data\Sun\Java\Deployment\cache\6.0\51\106cf3-792b149b Java.Siggen.27
106cf3-792b149b C:\Documents and Settings\Mama\Application Data\Sun\Java\Deployment\cache\6.0\51 Архив содержит инфицированные объекты Перемещен.
4f7957f9-33a4cab4 C:\Documents and Settings\Mama\Application Data\Sun\Java\Deployment\cache\6.0\57 Trojan.MulDrop1.52441 Удален.
23046909-4c53e3e3\bpac/a.class C:\Documents and Settings\Mama\Application Data\Sun\Java\Deployment\cache\6.0\9\23046909-4c53e3e3 Java.Downloader.128
23046909-4c53e3e3 C:\Documents and Settings\Mama\Application Data\Sun\Java\Deployment\cache\6.0\9 Архив содержит инфицированные объекты Перемещен.
14[1].exe C:\Documents and Settings\Mama\Local Settings\Temporary Internet Files\Content.IE5\2TF41CVA Trojan.Hosts.2087 Неизлечим.Перемещен.
4[1].exe C:\Documents and Settings\Mama\Local Settings\Temporary Internet Files\Content.IE5\5SOV998P Trojan.PWS.Panda.387 Удален.
13[1].exe C:\Documents and Settings\Mama\Local Settings\Temporary Internet Files\Content.IE5\CF73AW9T Trojan.MulDrop1.52443 Удален.
wlock.exe C:\Documents and Settings\Mama\wlock Trojan.Winlock.2519 Удален.
mIRC 6.16 rus ByNets Edition.exe/data002\mirc.exe C:\Kav\pub\mIRC 6.16 rus ByNets Edition.exe/data002 Program.mIRC.616
data002 C:\Kav\pub Архив содержит инфицированные объекты
mIRC 6.16 rus ByNets Edition.exe C:\Kav\pub Контейнер содержит инфицированные объекты Перемещен.
Dc10711.inf C:\RECYCLER\S-1-5-21-73586283-1592454029-725345543-1003 Win32.HLLW.Autoruner.1680 Удален.
[/QUOTE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
DeleteFileMask('C:\Documents and Settings\Mama\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
DeleteFileMask('C:\Documents and Settings\U1\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
DeleteFileMask('C:\RECYCLER\S-1-5-21-73586283-1592454029-725345543-1003', '*.*', true);
DeleteDirectory('C:\RECYCLER\S-1-5-21-73586283-1592454029-725345543-1003');
QuarantineFile('C:\Program Files\internet explorer\setupapi.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
QuarantineFile('C:\DOCUME~1\Mama\LOCALS~1\Temp\iPC70024.sys','');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
DeleteFile('C:\Program Files\internet explorer\setupapi.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]

[QUOTE=polword;731614]- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
- Файл [B][COLOR=Red]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR=Blue]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=Blue][B]MBAM[/B][/COLOR][/URL][/QUOTE]
При тестировании скрипта Ошибка - "[B]Ошибка: ')' expected в позиции 10:17[/B]"

поправил

[QUOTE=polword;731725]поправил[/QUOTE]
Карантин отправил.

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\arm32reg','DLLName');
QuarantineFile('%System32%\sfcfiles.dll','');
RenameFile('%System32%\sfcfiles.dll', '%System32%\sfcfiles.bak');
if CheckFile('%System32%\dllcache\sfcfiles.dll')=3 then
CopyFile('%System32%\dllcache\sfcfiles.dll', '%System32%\sfcfiles.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

[QUOTE=V_Bond;731876]выполните скрипт
пришлите карантин согласно приложения 3 правил
повторите логи[/QUOTE]
Карантин пуст

пофиксите
[code]
O20 - Winlogon Notify: arm32reg - Invalid registry found
[/code]
что с проблемами ?

[QUOTE=V_Bond;731885]пофиксите
[code]
O20 - Winlogon Notify: arm32reg - Invalid registry found
[/code]что с проблемами ?[/QUOTE]
Никаких проблем!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Zapchast.cmh[/B] ( DrWEB: Trojan.WinSpy.959, BitDefender: Gen:Variant.Buzy.1635, AVAST4: Win32:WinSpy-HS [Rtk] )[/LIST][/LIST]