Модификацию Bagle (вероятно)

Windows XP SP2. Касперский 8. В результате запуска вредоносного кода, компьютер по всей вероятности был заражен одной из модификаций вируса Bagle.

Запустившись, вирус отключил Касперского.
Перезагрузка в безопасном режиме заблокирована - BSOD.
Не удалось запустить: AVZ, HiJackThis, AVPTool, КАV - поэтому логи приложить не могу. Сообщение, что эти проги не является приложением win32. Невозможно их не переустановить не удалить. Переименование не помогло.
Cureit запускается - проверяет но ничего не находит. Прочесал комп вручную - нашел левые папки и файлы:

user\Application Data\drivers\
user\Application Data\m\
%System32%\sposa2.dll
и на диске D afqk CANJ9H59, Удалил это все, не помогло.

Кстати в Program Files появилась левая папка 'a' с кучей левых файлов
объемом 3 Гб и тем самым забило весь диск С - удалил, снова пока не появляется.

Что делать?

Такой лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

[QUOTE=thyrex;645644]Такой лог [URL]http://virusinfo.info/showpost.php?p=493610&postcount=1[/URL][/QUOTE]

скачал, запустил - выдало что не является приложением win32, переименование не помогло

Скачайте [url="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]"OSAM" (Online Solutions Autorun Manager)[/url].

Лог работы утилиты заархивируйте и прикрепите к своему сообщению

Лог работы утилиты заархивируйте и прикрепите к своему сообщению[/QUOTE]

Скачал, запустил, лог прилагаю

Запустите OSAM
В меню драйверов правой кнопкой по [B]srosa[/B] и выберите [B]"Turn Run Off"[/B], потом подтвердите перезагрузку.
Повторите процедуру для [B]sK9Ou0s[/B]

Пробуйте выполнить правила и лог ComboFix

[QUOTE='thyrex;646450']В меню драйверов правой кнопкой [/QUOTE]

Не нашел меню драйверов, запустил прогу - прошла проверка - слева список - жму правой кнопкой - там Copy Text. А вот - все разобрался...сейчас все сделаю!!!!

Сделал как вы сказали - ComboFix не запускается все равно (переименование не помогает). Сообщение - не является приложением Win32. Лог после отключения - приложен.

А AVZ тоже не запускается?

[QUOTE='thyrex;646503']А AVZ тоже не запускается? [/QUOTE]
Извиняюсь . Сейчас проверил АVZ заработал и обновил бызы - сейчас выполню все правила и пришлю логи.

Прогнал комп AVZ и HiJackThis. Логи прилагаю.

Извините что получилось несколько одинаковых личных сообщений - браузер подвис маленько:)

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Documents and Settings\Нестеров\Application Data\m\flec006.exe','');
QuarantineFile('C:\Documents and Settings\Нестеров\Application Data\drivers\winupgro.exe','');
DeleteFile('C:\Documents and Settings\Нестеров\Application Data\drivers\winupgro.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','drvsyskit');
DeleteFile('C:\Documents and Settings\Нестеров\Application Data\m\flec006.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mule_st_key');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + попробуйте сделать лог ComboFix

[QUOTE='thyrex;646565']Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы[/QUOTE]

Выполнил скрипт. Папка с карантином пуста, поэтому не высылаю её. Дело в том, что папки drivers и m (которые согласно скрипту должны оказаться в карантине) уже давно мною принудительно удалены, еще до начала лечения на virusinfo. Высылаю логи. Combofix так и не запускается.

Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]

[QUOTE='thyrex;647266']Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url] [/QUOTE]

Сделал лог, прилагаю.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wfsintwq.sys','');
DeleteFile('C:\WINDOWS\system32\wfsintwq.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
Зараженные ключи в реестре:
[CODE]HKEY_CLASSES_ROOT\CLSID\MADOWN (Worm.Magania) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\bisoft (Worm.Bagle) -> No action taken.[/CODE]

Попробуйте сделать лог ComboFix

[QUOTE='thyrex;647765']Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы[/QUOTE]

Карантин отослал. Ключи удалил. Combofix не запускается.

Лог OSAM еще раз сделайте

[QUOTE='thyrex;647826']Лог OSAM еще раз сделайте [/QUOTE]
Лог прилагаю

Выполните скрипт в AVZ
[code]begin
BC_DeleteService('sK9Ou0s');
BC_DeleteService('srosa');
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новый лог OSAM

При попытке выполнить скрипт AVZ выдал следующее сообщение:
Ошибка скрипта: Undeclared identifier: 'BC_DeleteService', позиция [2:17]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
BC_DeleteSvc('sK9Ou0s');
BC_DeleteSvc('srosa');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Скрипт выполнил. Лог OSAM прилагаю.

ComboFix по-прежнему не запускается?

[QUOTE='thyrex;648387']ComboFix по-прежнему не запускается? [/QUOTE]

Ни комбофикс ни касперский. Пишет - не является приложением Win32

Выполните скрипт
[CODE]begin
BC_DeleteFile('C:\WINDOWS\system32\wfsintwq.sys');
BC_DeleteSvc('sK9Ou0s');
BC_DeleteSvc('srosa');
BC_Activate;
RebootWindows(true);
end.[/CODE]После перезагрузки новый лог OSAM

Все по прежнему. Лог прилагаю.

Тогда [URL="http://virusinfo.info/showpost.php?p=306441&postcount=2"]так[/URL] или [URL="http://virusinfo.info/showpost.php?p=557652&postcount=5"]так[/URL]

[QUOTE='thyrex;648415']Тогда так или так [/QUOTE]

Буду пробовать. Собственно и диски уже два дня как лежать... подготовил...

[QUOTE='L@MER;648420']Цитата:
Сообщение от thyrex
Тогда так или так

Буду пробовать. Собственно и диски уже два дня как лежать... подготовил... [/QUOTE]

Просканировал и диск С и диск Д с помощью ливсд от каспера и веба (с обн.базами), отнес жесткий на работу и там прогнал еще раз каспером и куреитом, подключив слейвом к компу на работе. Единственное что было найдено ими это файл с вирусом в карантине avz и все. На работе базы на обоих антивирях свежие. Принес домой - подключил - каспер и комбофикс не грузятся - все по старому, что делать?

Выполните скрипт в AVZ
[code]begin
ExecuteRepair(6);
ExecuteRepair(10);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Проверьте безопасный режим. Антивирус не запустился?

[QUOTE='thyrex;649636']Компьютер перезагрузится.

Проверьте безопасный режим. Антивирус не запустился? [/QUOTE]

Безопасный режим заработал. Каспер и Комбофикс не запускаются...

Делайте полный комплект логов по [URL="http://virusinfo.info/pravila.html"]правилам.[/URL]

[QUOTE='Aleksandra;649685']Делайте полный комплект логов по правилам. [/QUOTE]

Все сделал - прилагаю логи

1. Удалите папки System Volume information на всех дисках: [url]http://support.microsoft.com/?scid=kb%3Bru%3B309531&x=15&y=12[/url]

2. Выполните [url]http://virusinfo.info/showthread.php?t=3519[/url]

3. Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=78057[/url] в режиме ordinary.

1. Удалил

2. Файл сохранён как 100605_023517_virusinfo_files_HOMECOMPUTER_4c097fa5c9cbe.zip
Размер файла 13769859
MD5 9f597a4989ebe887d0fcaa7f8e7d88d7

3. Прилагаю лог

Если я правильно поняла, сейчас основная проблема с запуском Касперского?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=L@MER;649705]Файл сохранён как 100605_023517_virusinfo_files_HOMECOMPUTER_4c097fa5c9cbe.zip
Размер файла 13769859
MD5 9f597a4989ebe887d0fcaa7f8e7d88d7[/QUOTE]
[url]http://virusinfo.info/showpost.php?p=649712&postcount=7295[/url]

[QUOTE='Aleksandra;649714']Если я правильно поняла, сейчас основная проблема с запуском Касперского?[/QUOTE]

Да. Не запускается касперский и комбофикс. сообщение - программы не являются приложениями Win32

Сделайте отчет GSI [url]http://support.kaspersky.ru/faq/?qid=180593373[/url]