На компьютере-сервере засел вирус [not-a-virus:Server-FTP.Win32.SFH.hp ]

Добрый день!
На работе добрые шаловливые ручонки открыли что не нужно, в общем засел вирус. На первый взгляд не кажется уж очень вредным. Что первое обнаружил, при открытии браузера вместо домашней страницы открывается [URL]http://www.2345.com/?k1112958[/URL] после чего активно начинает ругаться Kaspersky Small Office Security. Он удаляет все по его мнению вредоносное ПО, после чего отправляет сервак на перезагрузку, но после перезагрузки все возвращается снова. Я в деле борьбы с вирусами не очень силен. Поэтому и решил обратиться сюда. Что еще могу сказать. После "заражения" при загрузке система стала выдавать следующие сообщения:
Сбой при запуске одной или нескольких системных программ и ссылку на нее \windows\system32\lls\qibin.vbe и ma.vbe - что это я честно говоря не знаю, но может поможет как-то.
Что еще - периодически замечаю по логу, что в районе 3-4 ночи по местному времени устанавливаются всякого рода спам-программы. типа мадзяна и прочей китайской фигни, ее удалил.

Очень прошу помочь и надеюсь, что не получится переустанавливать систему, стоит много всяких прог, которые не хотелось бы трогать:) Файлы с логами прилагаю

Уважаемый(ая) [B]tchuiman[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\WINDOWS\srchasst\wmpserv.dll','');
QuarantineFile('C:\Program Files\????\SoHuAutoDetector.dll','');
QuarantineFile('C:\windows\svchost.exe','');
QuarantineFile('C:\WINDOWS\pipi\Opk.exe','');
QuarantineFile('C:\WINDOWS\Thunder\lsess.exe','');
QuarantineFile('C:\Program Files\kuping4\kuping_v4.exe','');
QuarantineFile('C:\WINDOWS\Debug\wpdmtp.exe','');
QuarantineFile('C:\Program Files\Wuji\2013627\WJNews.exe','');
QuarantineFile('C:\Program Files\2345xiufudashi\QTmain.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Storm\update\Console\xnobm.cc3','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Storm\update\Console\ojoxm.cc3','');
QuarantineFile('C:\2234200.dll','');
DeleteFile('C:\2234200.dll');
DeleteFile('C:\windows\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','shell');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.[/code]Компьютер перезагрузите вручную

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Все сделал, файлы прилагаю

Выполните скрипт в AVZ[code]beginShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);if not IsWOW64 then begin SearchRootkit(true, true); SetAVZGuardStatus(true); end;QuarantineFile('C:\WINDOWS\pipi\browser\wmipvic.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\onsetup.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\RECYCLER\bootexplorer.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\RECYCLER\bootpass.exe', 'MBAM: Worm.Magania');QuarantineFile('C:\RECYCLER\hexexplorer.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\RECYCLER\hexpass.exe', 'MBAM: Worm.Magania');QuarantineFile('C:\RECYCLER\hexqq.exe', 'MBAM: Trojan.Agent.QQGen');QuarantineFile('C:\RECYCLER\hexsetup.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\RECYCLER\on123.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\onserver.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\RECYCLER\s123.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\spass.exe', 'MBAM: Worm.Magania');QuarantineFile('C:\RECYCLER\st123.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\Documents and Settings\hexserver.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\Documents and Settings\on123.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\Documents and Settings\onserver.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\Documents and Settings\s123.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\Documents and Settings\sserver.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\Documents and Settings\admin1\Рабочий стол\2.rar', 'MBAM: Trojan.FlyStudio');QuarantineFile('C:\Documents and Settings\admin1\Рабочий стол\??????1433.exe', 'MBAM: Trojan.FlyStudio');QuarantineFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\K5P8EX2D\A15[1].exe', 'MBAM: Malware.Packer');QuarantineFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\K5P8EX2D\server[1].exe', 'MBAM: Worm.Magania');QuarantineFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\KNJHWCNF\A15[1].exe', 'MBAM: Malware.Packer');QuarantineFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\LQM8IRI8\1[2].exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\V59HWDE2\A15[1].exe', 'MBAM: Malware.Packer');QuarantineFile('C:\WINDOWS\xinstall1052700.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall1113900.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall1148700.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall1518100.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall1783400.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall2506900.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall2876500.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall2998900.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall3006900.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall3054800.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall3228600.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\xinstall605900.dll', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\Web\2345xiufu_kgm521_v1.5.exe', 'MBAM: Trojan.ChinAd');QuarantineFile('C:\WINDOWS\E67242C7\svchsot.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\WinSxS\РЦµЬНшВз\1433\scan\s.exe', 'MBAM: PUP.RiskWare.TCPScan');QuarantineFile('C:\WINDOWS\Config\setup_open_3342.exe', 'MBAM: Trojan.Downloader.Small');QuarantineFile('C:\WINDOWS\43AFCDAB\svchsot.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\WINDOWS\90C77571\svchsot.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\Program Files\Common Files\Microsoft Shared\svhost.exe', 'MBAM: Backdoor.Farfli');QuarantineFile('C:\RECYCLER\bootKINSTALLERS_66_4511.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\bootwin.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\hex123.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\hexKINSTALLERS_66_4511.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\hexwin.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\shqq.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\sKINSTALLERS_66_4511.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\stKINSTALLERS_66_4511.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\swin.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\xpexplorer.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\xpKINSTALLERS_66_4511.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\xppass.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\xpqq.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\xpserver.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\xpwin.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\RECYCLER\zyqq.exe', 'MBAM: Trojan.Agent');QuarantineFile('C:\WINDOWS\system32\f5859b27.rdb', 'MBAM: Malware.Trace');DeleteFile('C:\WINDOWS\pipi\browser\wmipvic.exe');DeleteFile('C:\RECYCLER\onsetup.exe');DeleteFile('C:\RECYCLER\bootexplorer.exe');DeleteFile('C:\RECYCLER\bootpass.exe');DeleteFile('C:\RECYCLER\hexexplorer.exe');DeleteFile('C:\RECYCLER\hexpass.exe');DeleteFile('C:\RECYCLER\hexqq.exe');DeleteFile('C:\RECYCLER\hexsetup.exe');DeleteFile('C:\RECYCLER\on123.exe');DeleteFile('C:\RECYCLER\onserver.exe');DeleteFile('C:\RECYCLER\s123.exe');DeleteFile('C:\RECYCLER\spass.exe');DeleteFile('C:\RECYCLER\st123.exe');DeleteFile('C:\Documents and Settings\hexserver.exe');DeleteFile('C:\Documents and Settings\on123.exe');DeleteFile('C:\Documents and Settings\onserver.exe');DeleteFile('C:\Documents and Settings\s123.exe');DeleteFile('C:\Documents and Settings\sserver.exe');DeleteFile('C:\Documents and Settings\admin1\Рабочий стол\2.rar');DeleteFile('C:\Documents and Settings\admin1\Рабочий стол\??????1433.exe');DeleteFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\K5P8EX2D\A15[1].exe');DeleteFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\K5P8EX2D\server[1].exe');DeleteFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\KNJHWCNF\A15[1].exe');DeleteFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\LQM8IRI8\1[2].exe');DeleteFile('C:\Documents and Settings\Waiting\Local Settings\Temporary Internet Files\Content.IE5\V59HWDE2\A15[1].exe');DeleteFile('C:\WINDOWS\xinstall1052700.dll');DeleteFile('C:\WINDOWS\xinstall1113900.dll');DeleteFile('C:\WINDOWS\xinstall1148700.dll');DeleteFile('C:\WINDOWS\xinstall1518100.dll');DeleteFile('C:\WINDOWS\xinstall1783400.dll');DeleteFile('C:\WINDOWS\xinstall2506900.dll');DeleteFile('C:\WINDOWS\xinstall2876500.dll');DeleteFile('C:\WINDOWS\xinstall2998900.dll');DeleteFile('C:\WINDOWS\xinstall3006900.dll');DeleteFile('C:\WINDOWS\xinstall3054800.dll');DeleteFile('C:\WINDOWS\xinstall3228600.dll');DeleteFile('C:\WINDOWS\xinstall605900.dll');DeleteFile('C:\WINDOWS\Web\2345xiufu_kgm521_v1.5.exe');DeleteFile('C:\WINDOWS\E67242C7\svchsot.exe');DeleteFile('C:\WINDOWS\WinSxS\РЦµЬНшВз\1433\scan\s.exe');DeleteFile('C:\WINDOWS\43AFCDAB\svchsot.exe');DeleteFile('C:\WINDOWS\90C77571\svchsot.exe');DeleteFile('C:\Program Files\Common Files\Microsoft Shared\svhost.exe');DeleteFile('C:\RECYCLER\bootKINSTALLERS_66_4511.exe');DeleteFile('C:\RECYCLER\bootwin.exe');DeleteFile('C:\RECYCLER\hex123.exe');DeleteFile('C:\RECYCLER\hexKINSTALLERS_66_4511.exe');DeleteFile('C:\RECYCLER\hexwin.exe');DeleteFile('C:\RECYCLER\shqq.exe');DeleteFile('C:\RECYCLER\sKINSTALLERS_66_4511.exe');DeleteFile('C:\RECYCLER\stKINSTALLERS_66_4511.exe');DeleteFile('C:\RECYCLER\swin.exe');DeleteFile('C:\RECYCLER\xpexplorer.exe');DeleteFile('C:\RECYCLER\xpKINSTALLERS_66_4511.exe');DeleteFile('C:\RECYCLER\xppass.exe');DeleteFile('C:\RECYCLER\xpqq.exe');DeleteFile('C:\RECYCLER\xpserver.exe');DeleteFile('C:\RECYCLER\xpwin.exe');DeleteFile('C:\RECYCLER\zyqq.exe');BC_ImportAll;ExecuteSysClean;BC_Activate;end.[/code]Компьютер перезагрузите вручную.Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR=Red][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темыУстановите все обновления для системыСделайте новый лог МВАМ

Сделано.
Еще такой вопрос - не подскажете, что да файлы эти такие qibin.vbe и ma.vbe, на сбой при загрузке которых постоянно жалуется система при перезагрузке? вирусные тоже?

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Обнаруженные ключи в реестре: 1
HKLM\SOFTWARE\Microsoft\Comhidserv70 (Malware.Trace) -> Действие не было предпринято.

Объекты реестра обнаружены: 2
HKCU\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (Hijack.StartPage) -> Плохо: (http://www.2345.com/?k1112958) Хорошо: (http://www.google.com) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main|Start Page (Hijack.StartPage) -> Плохо: (http://www.2345.com/?k1112958) Хорошо: (http://www.google.com) -> Действие не было предпринято.

Обнаруженные папки: 1
C:\Documents and Settings\All Users\Application Data\Storm\update\%SESSIONNAME% (Trojan.ServiceHijacker) -> Действие не было предпринято.

Обнаруженные файлы: 48
C:\Documents and Settings\admin1\Рабочий стол\兄弟网络三版1433.exe (Trojan.FlyStudio) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00002.dta (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00003.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00004.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00005.dta (Worm.Magania) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00006.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00007.dta (Worm.Magania) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00008.dta (Trojan.Agent.QQGen) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00009.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00010.dta (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00011.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00012.dta (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00013.dta (Worm.Magania) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00014.dta (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00015.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00016.dta (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00017.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00018.dta (Trojan.Agent) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00019.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00020.dta (Trojan.FlyStudio) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00021.dta (Malware.Packer) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00022.dta (Worm.Magania) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00023.dta (Malware.Packer) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00024.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00025.dta (Malware.Packer) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00026.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00027.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00028.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00029.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00030.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00031.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00032.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00033.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00034.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00035.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00036.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00037.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00038.dta (Trojan.ChinAd) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00039.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00040.dta (PUP.RiskWare.TCPScan) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00041.dta (Trojan.Downloader.Small) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00042.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00043.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\avz00044.dta (Backdoor.Farfli) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\bcqr00081.dat (Trojan.Downloader.Small) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Рабочий стол\antivirus\avz4\avz4\Quarantine\2013-07-02\bcqr00082.dat (Trojan.Downloader.Small) -> Действие не было предпринято.[/code]

я просто профан в этом, а что делать после удаления? или эти действия излечат компьютер?

По ссылке на удаление все написано

а) увидел) сори)

Сделано. Malware предлагает перезагрузиться, чтобы полностью удалить зараженные файлы? Сделать это? или нет пока?

Перезагрузитесь

Вот еще что нашел касперский

Сделайте новый лог сканирования MBAM и отпишитесь, что с проблемами.

+ после окончания лечения не забудьте сменить пароли.

MAB нашел всего 4 зараженных объекта (лог прилагаю). В целом, система стала работать значительно лучше. Единственное что осталось, ну на первый взгляд, что при запуске Экспрорера - осталась стартовая китайская страница, причем выставляется при перезагрузке именно.
Еще осталось это
Сбой при запуске одной или нескольких системных программ и ссылку на нее \windows\system32\lls\qibin.vbe и ma.vbe

Я честно говоря не знаю что это за системные программы, в гугле тоже не могу их найти, может вы знаете.

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]все найденное[/b]

пробовал удалить, после перезагрузки системы все обратно восстанавливается

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

Готово

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.80.11 [http://dsrt.dyndns.org]
;Target OS: NTv5.2

OFFSGNSAVE
breg

delref HTTP://WWW.2345.COM/?K1112958
deltmp[/CODE]

сделайте новый лог сканирования MBAM

Вложил оба файла - лог после запуска скрипта и еще раз сделал сканирование МВАМ

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

не дает, т.к. он не для серверов

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

сделайте новый лог MBAM

Все сделал

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

После перезагрузки выдает опять что в браузере сохранена стартовая, описанная выше.
Иногда выдает сообщение, что неизвестна ошибка при загрузке Prassi Mastering
и вот такие данные
szAppName : spresrt.exe szAppVer : 2.1.0.358 szModName : mozjs.dll
szModVer : 0.0.0.0 offset : 00004cba

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

Сделано

C:\WINDOWS\Debug\wpdmtp.exe проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url]
Ссылку на результат проверки сообщите

В папке Debug оказалось много файлов от Prassi - насколько я понял из гугла - раньше была крупным производителем хакерского софта, но тут думаю вы в курсе :)

[url]https://www.virustotal.com/ru/file/f8abfbb37f91914c55e980b1c8901a3c7f620b6039d20dcca6d9e806e62ea2ed/analysis/1373265711/[/url]

Файлы
[CODE]C:\WINDOWS\system32\tfujTSw.exe
C:\WINDOWS\system32\OmcDpav.exe
C:\WINDOWS\system32\QBJDwsO.exe
C:\WINDOWS\system32\mCOoJty.exe
C:\WINDOWS\system32\gzQGXLi.exe
C:\WINDOWS\system32\cs.exe
C:\WINDOWS\system32\sKINSTALLERS_66_4511.exe
C:\WINDOWS\system32\bootKINSTALLERS_66_4511.exe
C:\WINDOWS\system32\c.exe
C:\WINDOWS\system32\gouri.bat
C:\WINDOWS\system32\sb.dat
C:\WINDOWS\system32\nanrenms.js
C:\WINDOWS\system32\nanren.txt[/CODE]

и папки
[CODE]C:\WINDOWS\Debug
C:\sohucache
C:\WINDOWS\system32\i5736
C:\WINDOWS\system32\ISQL
C:\WINDOWS\43AFCDAB
C:\WINDOWS\system32\i6650
C:\WINDOWS\90C77571
C:\WINDOWS\E67242C7
C:\WINDOWS\B327C95E[/CODE]запакуйтес паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Также выложите этот архив на обменник rghost.ru и пришлите ссылку

Обновления для MS SQL все установлены?

Готово, добавил туда еще несколько папок, вот почему - стал на досуге искать, что же за файлы такие эти qibin.vbe и ma.vbe - несколько раз к папке lls выходил.
Также поиски вывели на занятную папку C:\WINDOWS\WinSxS в которой также много чего судя по всему сидит
MICROSOFT.WORKFLOW.COMPILER.EXE.EXE - вот это например
InstallTemp - в ней же нашел такую папку. судя по реакции касперского на ее банальное открытие, там тоже чтото есть.
РЦµЬНшВз - вот еще такую папку нашел с таким же названием


C:\WINDOWS\system32\ISQL
C:\WINDOWS\43AFCDAB
C:\WINDOWS\system32\i6650
C:\WINDOWS\90C77571
C:\WINDOWS\E67242C7
C:\WINDOWS\B327C95E

оказались пустыми



[QUOTE]Обновления для MS SQL все установлены? .[/QUOTE]
а как это проверить? просто боюсь что если начну обновлять, это может нарушить работу сервера.

[QUOTE]C:\WINDOWS\system32\ISQL
C:\WINDOWS\43AFCDAB
C:\WINDOWS\system32\i6650
C:\WINDOWS\90C77571
C:\WINDOWS\E67242C7
C:\WINDOWS\B327C95E[/QUOTE]удаляйте

[quote="tchuiman;1016591"]просто боюсь что если начну обновлять, это может нарушить работу сервера[/quote]У Вас похоже сетевой червяк, который как раз и использует дыры в MS SQL. Последняя версия у Вас установлена?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Не вижу от Вас нового карантина

Карантин загружается, скоро появится

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

А не подскажете как обновить MS SQL?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Карантин загрузился

[quote="tchuiman;1016594"]А не подскажете как обновить MS SQL?[/quote]Установить самую последнюю версию. Главное чтобы она не нарушила работоспособность ппрограмм, которые его используют

[url]http://rghost.ru/47284558[/url] - вот ссылка на Rghost

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

C:\Program Files\Microsoft SQL Server\MSSQL\Upgrade - вот там есть файл upgrade.exe - вот через этот файл можно обновить? или нужно скачивать?

+ Пришлите в карантин ещё

[CODE]C:\WINDOWS\DEBUG\BROWSER\SPRESRT.EXE[/CODE]
и поишите, если найдёте также пришлите файл
[B]sethc.exe[/B]

+ 168.95.1.1 - Taiwan - эти DNS сами прописывали ?

[QUOTE]168.95.1.1[/QUOTE]
Интернет-компания выдала

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Не подскажете, чтобы обновить SQL - нужно заново скачивать его? или есть встроенный агент который поможет обновиться?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Загрузил карантин

[quote="tchuiman;1016602"]Интернет-компания выдала[/quote]Это в договоре так с провайдером???

[QUOTE]Это в договоре так с провайдером??? [/QUOTE]
да, у нас есть ряд выделенных айпи адресов, и в договоре прописан именно этот днс

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Microsoft SQL Server Management Studio 10.0.1600.22 ((SQL_PreRelease).080709-1414 )
Microsoft Data Access Components (MDAC) 2000.086.3959.00 (srv03_sp2_rtm.070216-1710)
Microsoft MSXML 2.6 3.0 4.0 5.0 6.0
Microsoft Internet Explorer 8.0.6001.18702
Microsoft .NET Framework 2.0.50727.3643
Operating System 5.2.3790

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

не очень в этом понимаю, это означает что это последняя версия стоит?

Microsoft SQL Server 2008 R2 - вот такая последняя версия вроде как доступная

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Обновления искатть стоит на www.update.microsoft.com