И опять 0xc0000005...

При получении virusinfo_syscheck.zip проактивная защита Каспера сообщила:
Попытка процесса изменить состав системных библиотек, загружаемых при старте ОС.
[B][SIZE=1]Ключ:[/B] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\ute4mtyw
[B]Значение:[/B] ImagePath
[B]Новые данные(Строка Unicode, заканчивающаяся нулем):
[/B]\??\C:\WINDOWS.0\system32\Drivers\ute4mtyw.sys
Запретил.
[/SIZE][SIZE=1][/SIZE]

Карантин закачан.

PS .EXE начали запускаться!
Неужто дело только в этом ute4mtyw.sys???

PPS В папке c:\WINDOWS.0\system32\drivers\ есть еще:
vde4mtyw.sys длиной 13312
uze4mtyw.sys длиной 11264

В c:\Documents and Settings\Admin\Local Settings\Temp\
два странных файла. Вот они.

r2h12.tmp:
{\rtf1\ansi\ansicpg1251\deff0\deflang1049{\fonttbl{\f0\fnil\fcharset204 MS Shell Dlg 2;}}
\viewkind4\uc1\pard\b\f0\fs17\'ca\'eb\'fe\'f7:\b0 HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet006\\Services\\ute4mtyw\par
\par
\b\'c7\'ed\'e0\'f7\'e5\'ed\'e8\'e5:\b0 ImagePath\par
\par
\b\'cd\'ee\'e2\'fb\'e5 \'e4\'e0\'ed\'ed\'fb\'e5(\'d1\'f2\'f0\'ee\'ea\'e0 Unicode, \'e7\'e0\'ea\'e0\'ed\'f7\'e8\'e2\'e0\'fe\'f9\'e0\'ff\'f1\'ff \'ed\'f3\'eb\'e5\'ec):\b0\par
\\??\\C:\\WINDOWS.0\\system32\\Drivers\\ute4mtyw.sys}

r2hF.tmp:
{\rtf1\ansi\ansicpg1251\deff0\deflang1049{\fonttbl{\f0\fnil\fcharset204 MS Shell Dlg 2;}}
\viewkind4\uc1\pard\f0\fs17 HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet006\\Services\\ute4mtyw\par
}

Возможно, пригодится?

C:\WINDOWS.0\System32\sfcfiles.dll - Trojan.WinSpy.921

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]

2polword:
MBAM - Не могу, сообщения те же.

У меня в c:\WINDOWS.0\system32\ есть:
sfcfiles.bak длиной 1 571 840, который Каспер заразой не считает;
Sfcfiles.dl_, который я туда положил, чтобы "expand" делать, если что.
Всё...

Скоро сутки с тех пор, как...
Что дальше-то?

[QUOTE=an2000;681213]
Sfcfiles.dl_, который я туда положил, чтобы "expand" делать, если что.
[/QUOTE]
надо сделать

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
QuarantineFile('c:\Documents and Settings\Admin\Local Settings\Temp\r2h12.tmp','');
QuarantineFile('c:\Documents and Settings\Admin\Local Settings\Temp\r2hF.tmp','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip; hijackthis.log;

Файлы .tmp привел выше, после чего стёр. Так что... две строки из скрипта убираю... :(

Опять при получении virusinfo_syscheck.zip проактивная защита Каспера сообщила:
Попытка процесса изменить состав системных библиотек, загружаемых при старте ОС.
[B][SIZE=1]Ключ:[/SIZE][/B][SIZE=1] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\u te4mtyw
[B]Значение:[/B] ImagePath
[B]Новые данные(Строка Unicode, заканчивающаяся нулем):
[/B]\??\C:\WINDOWS.0\system32\Drivers\ute4mtyw.sys
Запретил.
[/SIZE]
[SIZE=1]...после чего AVZ сказала:[/SIZE]
[SIZE=1]Failed to set data for 'ImagePath'[/SIZE]
[SIZE=1]а в окне Протокол самой AVZ появилось:[/SIZE]
[SIZE=1][SIZE=2]1.2 Поиск перехватчиков API, работающих в KernelMode
[/SIZE][SIZE=2][COLOR=#ff0000][SIZE=2][COLOR=#ff0000]Ошибка в работе антируткита [Failed to set data for 'ImagePath'], шаг [14]
[/COLOR][/SIZE][/COLOR][/SIZE]
В c:\WINDOWS.0\system32\drivers\ появились
uje4mtyw.sys длиной 10240
ute4mtyw.sys длиной 7168

В c:\Documents and Settings\Admin\Local Settings\Temp\ появились:
h2r3.tmp длиной 0
r2h2.tmp длиной 485

Возможно, проактивной защите мне надо отвечать "Разрешить"?
[/SIZE]

при выполнении скрипта надо отключать антивирус

Отключил.
Выполнил скрипт (с новыми именами .tmp).
Перезагрузка прошла.

Запрошенное прилагаю.

PS Возможно, для MBAM тоже надо Каспера выключать?

На первый взгляд - все работает, несмотря на отсутствие файла sfcfiles.dll в c:\WINDOWS.0\system32... :)

файл sfcfiles.dll в c:\WINDOWS.0\system32 надо восстановить

Восстановил.
Скажите, плз, что указало Вам на вирус?
(C:\WINDOWS.0\System32\sfcfiles.dll - Trojan.WinSpy.921)

файл C:\WINDOWS.0\System32\Drivers\sfc.SYS

А почему Каспер этого не подтверждает?

Рановато Вы поставили "Излечено"...
Все как прежде.
Обнаружил, когда попробовал перегрузить компьютер.

Каспер, как и раньше, молчит...

[QUOTE='an2000;683288']Обнаружил, когда попробовал перегрузить компьютер.

Каспер, как и раньше, молчит... [/QUOTE]Добавьте информативности

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows.0\system32\sfcfiles.dll - [B]Trojan-Spy.Win32.Agent.bihf[/B] ( DrWEB: Trojan.WinSpy.921, BitDefender: Gen:Trojan.Heur.LP.Fr7@aKaTBIf, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]