Троянские программы Agent.NVL и Injector.BO

Троянские программы Agent.NVL и Injector.BO
Сначала, после включения компьютера, выпадает окно:
"system.exe - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства."
Если это окно не трогать, дальше почти ничего не происходит.
Если окно закрыть, немедленно начинается: NOD32 постоянно обнаруживает, "очищает удалением" и "изолирует" троянов Agent.NVL и Injector.BO.
Если подключить компьютер к интернету, проблема исчезает: окно не выпадает, трояны не обнаруживаются, все тихо.
Пару раз по невыявленной системе дата и время компьютера переводились на 1 января 2070 г.

P.S. В ходе работы AVZ не смог отключить НОД32, просто не нашел, как это сделать.

[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\system.exe
[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\system.exe');
QuarantineFile('C:\WINDOWS\system\svhost.exe','');
QuarantineFile('c:\windows\system32\system.exe','');
QuarantineFile('C:\Documents and Settings\7784448\Local Settings\Temp\57205.sys','');
DeleteFile('C:\Documents and Settings\7784448\Local Settings\Temp\57205.sys');
DeleteFile('c:\windows\system32\system.exe');
DeleteFile('C:\WINDOWS\system\svhost.exe');
DeleteService('WindowsTelephony');
DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportAll;
BC_DeleteSvc('WindowsTelephony');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=40779"]http://virusinfo.info/upload_virus.php?tid=40779[/URL]
Повторите логи по правилам.

Кажется, все сделал правильно.

Кстати, троянская программа стала определяться НОДом как Agent.NVW (раньше был Agent.NVL)

в avz
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
BC_ImportDeletedList;
BC_DeleteSvc('sysdrv32')
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Обновите базы AVZ (файл - обновление баз)
Повторите логи.

Скрипт не выполняется.
Сообщение:

Ошибка скрипта: ';' expected, позиция [7:1]

Выполняйте:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
BC_ImportDeletedList;
BC_DeleteSvc('sysdrv32');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделано.
Кстати, у меня появились странности с почтовым ящиком на мэйл.ру: при отправке письма меня выбрасывает из ящика. Письмо, правда, при этом отправляется.
Это никак не связано?

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\system.exe','');
DeleteFile('c:\windows\system32\system.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

Карантин загружен.
В процессе выполнения скрипта дата и время опять поменялись на 1 января 2070 года. Логи сделаны в этом времени.
Не знаю, значит ли это что-нибудь.

Сделайте полную проверку AVPTool и повторите логи...

Это то, что надо делать в безопасном режиме?
Или не обязательно?
И надо ли заново качать AVPTool (я его качал позавчера, в ночь с субботы на воскресенье)?

Скачайте заново, проверьтесь в обычном режиме...

Сделано.
Примечания:
1. Попытался руками в AVPTool выделить все возможные области поиска (все диски и т.д.). AVTool дважды зависал на середине работы. Поэтому в конце концов я запустил его с настройками по умолчанию - тогда он все сделал.
2. При работе AVPTool я "временно отключал защиту" НОД32.
3. Когда я попытался "временно отключить защиту" НОД32 перед запуском AVZ, утилита тоже зависла. Поэтому операции с утилитой я делал при включенном НОД32. И HijackThis тоже при включенном.

в безопасном режиме выполните скрипт:
[code]begin
QuarantineFile('C:\Documents and Settings\7784448\Local Settings\Temp\04625.sys','');
QuarantineFile('C:\Documents and Settings\7784448\Local Settings\Temp\40428.sys','');
QuarantineFile('c:\windows\system32\system.exe','');
TerminateProcessByName('c:\windows\system32\system.exe');
DeleteFile('C:\Documents and Settings\7784448\Local Settings\Temp\04625.sys');
DeleteFile('C:\Documents and Settings\7784448\Local Settings\Temp\40428.sys');
DeleteFile('c:\windows\system32\system.exe');
DeleteFileMask('%Tmp%', '*.*', true);
BC_ImportAll;
BC_DeleteSvc('04625');
BC_DeleteSvc('40428');
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6); ExecuteRepair(8); ExecuteRepair(9);
RebootWindows(true);
end.[/code]

-Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [url]http://virusinfo.info/upload_virus.php?tid=40779[/url]


-советую nod полностью деинсталировать и пройтись авпптул, скорее всего нод мешает работе авптул.

-Повторите логи по правилам.

[quote]-советую nod полностью деинсталировать и пройтись авпптул, скорее всего нод мешает работе авптул.

-Повторите логи по правилам.[/quote]

А что сначала - деинсталлировать нод и выполнить АВПТул или сначала выполнить Ваш скрипт?

Удалить Нод, скрипт, AVPTool, повторить логи...

Карантин там, остальное тут.

[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[code]
O4 - HKCU\..\Run: [Mozillacorp] C:\WINDOWS\system32\system.exe
[/code]в AVZ
[code]
begin
DeleteFile('C:\WINDOWS\system32\system.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Повторите пункты 2 и 3 диагностики.

Только 2 и 3?
Первый (скрипт лечения/карантина) не надо?

Нет, но если хотите...

Сделал 2 и 3.
Только, по-моему, в АVZ лог не записывался?

Фиксим
[code]
F2 - REG:system.ini: Shell=
F2 - REG:system.ini: UserInit=[/code]
Логи AVZ где?
ПОвторите пункты 2 и 3

Пофиксил, сделал пункты 2 и 3.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\system.exe
O4 - HKCU\..\Run: [Mozillacorp] C:\WINDOWS\system32\system.exe
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\system.exe');
QuarantineFile('C:\Documents and Settings\7784448\Local Settings\Temp\41568.sys','');
QuarantineFile('C:\WINDOWS\Temp\44243.sys','');
QuarantineFile('c:\windows\system32\system.exe','');
DeleteFile('c:\windows\system32\system.exe');
DeleteFile('C:\WINDOWS\Temp\44243.sys');
DeleteFile('C:\Documents and Settings\7784448\Local Settings\Temp\41568.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Два вопроса.
1. Я пользуюсь не ИЕ, а Мозиллой
2. Я вообще снес антивирус, как мне посоветовали чуть раньше. Что делать? Я не могу его "включить".

Запустите FF, значит не нужно ничего "включать" :)

Ну вот...

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\system.exe');
DeleteFile('c:\windows\system32\system.exe');
DeleteFile('C:\DOCUME~1\7784448\LOCALS~1\Temp\26047.sys');
DeleteFileMask('%Tmp%', '*.*', true);
ExecuteRepair(16);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи

Карантин не надо?

Нет...

Сделано.

ничего плохого

[quote=V_Bond;366506]ничего плохого[/quote]

Доктор, я буду жить? :)

[size="1"][color="#666686"][B][I]Добавлено через 21 минуту[/I][/B][/color][/size]

Спасибо всем огромное.

Какой антивирус ставить? :)

Лично я бы поставил Каспера...
Но решать вам.

Я дико извинияюсь, но меньше чем через сутки проблема вернулась.
Приметы все те же:
1. Выскакивающее окно про ошибку в программе system.exe
2. Самопроизвольный перевод даты-времени на 1 января 2070 года
и, как мне кажется, эта штука сильно влияет на устойчивость связи (я в основном пользуюсь скайлинковским модемом).

Я повторил последний выданный мне скрипт, затем сделал логи как положено.

ну так все ясно Platform: Windows XP SP2 - обновляйтесь + закрыть сетевые шары если есть ...
віполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-6308209591-2034293551-649257186-0732\mwau.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

Прошу прощения, но я все же чайник :-)
Что такое "сетевые шары", как выяснить - есть ли они у меня и как их закрыть?

[QUOTE]Что такое "сетевые шары"[/QUOTE]
у вас есть локальная сеть ? общие ресурсы ?

Кажется, нет...
Я на работе втыкаю провод выделенной линии, но это дает только вход в интернет, локальную сеть организации я не вижу.
Общих ресурсов тоже ни с кем нету.

[URL="http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Установите SP3[/URL] (может потребоваться активация) + последующие обновления.