Поймал червя FearAds.am и еще что-то

Стоит Нод32, он обнаружил AdWare.win32.FearAds.am, удалить не мог, обновление Windows XP блокируются, потом скачал AVZ почистил им. Обновления также блокируются, Онлайн-сканеры каспера, Нода, Панды так же блокируются... Dr.Web в безопасном режиме ничего не нашел. Далее обновил Нод32, еще раз прогнал им, обнаружил Win32/Kryptik.GL - очищен удалением - изолирован.
Обновления Винды и онлайн сканеры также блокируются:( Выдает картинку Google! Все началось вчера, когда открыл письмо от коллеги в аутлуке, хотя НОД32 не оставил его во входящих а промаркировал спамом. И к сожалению автоапдейт виндовс тоже отключен был с лета 2008:( Стоит Win XP Pro SP2. Вечером аутлук начал принимать письма-пустышки. Подозреваю что он всем в адрессной книге уже разослал червя:(
Вопрос еще один - вчера еще смотрел счет в интернет-банке, могла инфа уйти ?
Помогите вывести заразу! :censored:
P.S. файл вирусинфо_сисчек.зип почему то не смог создать, запутался я.

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('UIUSys');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\UIUSYS.SYS','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\rimmptsk.sys','');
DeleteFile('C:\WINDOWS\system32\DRIVERS\UIUSYS.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
пофиксите
[code]
F2 - REG:system.ini: UserInit=userinit.exe,
O17 - HKLM\System\CCS\Services\Tcpip\..\{42338113-6978-45F2-95AE-2DAC679F7176}: NameServer = 85.255.112.39,85.255.112.40
O17 - HKLM\System\CCS\Services\Tcpip\..\{45EA6300-6BD3-4C3C-B43E-5A436F2A7A55}: NameServer = 85.255.112.39,85.255.112.40
O17 - HKLM\System\CCS\Services\Tcpip\..\{954D57B7-1CE7-4C79-9741-9DAFBA16A4CC}: NameServer = 85.255.112.39,85.255.112.40
O17 - HKLM\System\CS5\Services\Tcpip\Parameters: NameServer = 85.255.112.39,85.255.112.40
O17 - HKLM\System\CS6\Services\Tcpip\Parameters: NameServer = 85.255.112.39,85.255.112.40
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.39,85.255.112.40
[/code]
повторите логи

Скрипт запустил, пофиксил, спасибо! сайты все равно блокируюся, не могу скачать апдейты виндовс.:( НОД32 уже ничего не нашел, высылаю карантин.

віполните скрипт
[code]
begin
QuarantineFile('C:\WINDOWS\system32\DRIVERS\rimmptsk.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\MDPMGRNT.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\HSX_DPV.sys','');
end.
[/code]
пришлите карантин согласно [B]приложения 3 правил[/B]

Извиняюсь:)
при выполнении скрипта вышло такое сообщение:

Файл успешно помещен в карантин (C:\WINDOWS\system32\DRIVERS\rimmptsk.sys)
Выполнен карантин файла C:\WINDOWS\system32\DRIVERS\rimmptsk.sys
Файл успешно помещен в карантин (C:\WINDOWS\system32\Drivers\MDPMGRNT.sys)
Выполнен карантин файла C:\WINDOWS\system32\Drivers\MDPMGRNT.sys
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\DRIVERS\HSX_DPV.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\DRIVERS\HSX_DPV.sys)
Карантин с использованием прямого чтения - ошибка

[URL="http://www.gmer.net/index.php"]этим [/URL] лог сделайте ...

Сделал лог

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\drivers\gaopdxbobhovcx.sys');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
лог gmer повторите

выполнил скрипт, повторил лог.
При перезагрузке кстати появляется значок Виндос_апдэйта, но показывает 0% и через секунд 5 пропадает.

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\drivers\gaopdxbobhovcx.sys');
DeleteFile('gaopdxserv.sys');
BC_DeleteSvc('gaopdxserv.sys');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
лог gmer повторите

Сделал

Вот только что НОД32 нашел еще одного трояна. Наконец то заработала скачка хотфиксов в IE! :>

08.02.2009 2:03:56 Защита файловой системы в режиме реального времени файл C:\WINDOWS\SYSTEM32\GAOPDXDYIBVKLP.DLL Win32/TrojanClicker.Agent.NFK троянская программа очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло при попытке доступа к файлу следующим приложением: C:\Program Files\Mozilla Firefox 3.1 Beta 2\firefox.exe.
06.02.2009 22:44:44 Защита файловой системы в режиме реального времени файл C:\DOCUME~1\Engineer\LOCALS~1\Temp\tmp3FAF.tmp Win32/Patched.AE вирус удален (после следующего перезапуска) - изолирован NT AUTHORITY\SYSTEM Событие произошло в файле модифицированном приложением: C:\DOCUME~1\Engineer\LOCALS~1\Temp\matrix32260.exe.
06.02.2009 22:44:43 Защита файловой системы в режиме реального времени файл C:\WINDOWS\TEMP\tempo-119618687.tmp модифицированный Win32/Kryptik.GF троянская программа очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло в новом файле, созданном следующим приложением: C:\WINDOWS\system32\spoolsv.exe.

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

После перезагрузки заработал Windows Update!

удалите ключи реестра ...
[code]
HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys@group file system
HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys@userdata -1
HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys\modules
HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys\modules@gaopdxserv \\?\globalroot\systemroot\system32\drivers\gaopdxbobhovcx.sys
HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys\modules@gaopdxl \\?\globalroot\systemroot\system32\gaopdxdyibvklp.dll
HKLM\SYSTEM\ControlSet006\Services\gaopdxserv.sys@group file system
HKLM\SYSTEM\ControlSet006\Services\gaopdxserv.sys@userdata -1
HKLM\SYSTEM\ControlSet006\Services\gaopdxserv.sys\modules
HKLM\SYSTEM\ControlSet006\Services\gaopdxserv.sys\modules@gaopdxserv \\?\globalroot\systemroot\system32\drivers\gaopdxbobhovcx.sys
HKLM\SYSTEM\ControlSet006\Services\gaopdxserv.sys\modules@gaopdxl \\?\globalroot\systemroot\system32\gaopdxdyibvklp.dll
[/code]
еще раз повторите лог

к сожалению через Regedit не удаляется ( а как по другому сделать - я не знаю(
И ветка там одна везде - gaopdxserv.sys

подсказка: через avz- сервис- поиск в реестре

сделал, удалил всего 3 ключа.

Прогнал сегодня заново AVZ

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL], запустите, зайдите в раздел "Registry", по "My computer" нажмите правой кнопкой "Find Text" и введите:

[CODE]gaopdxserv[/CODE]

Все что найдет удалить правой кнопкой "Delete", после каждого найденного ключа для того, чтобы продолжить поиск нажимайте по "My computer" правой кнопкой и выбирайте "Find Next"...

Повторите лог gmer...

сделал

Теперь чисто, установите SP3+all updates...