Не могу удалить Win32.HLLP.Rox.19

Похожый случай уже описан на
[URL="http://virusinfo.info/showthread.php?t=24494"][FONT=Times New Roman][SIZE=3]http://virusinfo.info/showthread.php?t=24494[/SIZE][/FONT][/URL]. Из антивирусов я смог запустить только CureIt. Он находит Win32.HLLP.Rox.19 в корневых катологах (pagefile.pif, 037589.LOG, AUTORUN.INF), в каталоге D:\WINDOWS\system32\Com\ (netcfg.000, netcfg.dll, lsass.exe, smss.exe) и D:\WINDOWS\system32\ (dnsq.dll и некоторых *.log файлах). После удаления dnsq.dll комп перегружается, и все удаленные файлы появляются снова.

AVZ не запускается. Переименовывание не помогает.

HijackThis сооьщает об ошибке после вывода строки F3 - REG:win.ini: run=, и зависает после закрытия окна ошибки. Если запустить "Do a system scan only", то ошибка та же, сканирование завершается успешно, но после нажимания "Save log" HijackThis зависает. Поэтому прикрепляю скриншоты вместо лог-файлов.

Помогите пожалуйста. Вся надежда на вас.

Здравствуйте!
Не, так дело не пойдет. Давайте попробуем запустить AVZ.
1. Скачайте полиморфный AVZ [URL="http://z-oleg.com/avz.exe"]отсюда[/URL], попробуйте его переименовать и запустить.
2. Если не выйдет, переименуйте исполняемый файл AVZ обратно в avz.exe, откройте блокнот и вставьте туда следующий текст:
[CODE]avz.exe am=y ag=y[/CODE]
Сохраните этот файл как 123.bat в папке с AVZ и запустите его.

Спасибо. AVZ запустился вторым способом. Но там нет скрипта "..для сбора информации для раздела "Помогите!" virusinfo.info".
Какой скрипт запускать?

Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]begin
ExecuteStdScr(2);
ExecuteStdScr(3);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
После выполнения этого скрипта в папке LOG образуются файлы virusinfo_syscheck.zip и virusinfo_syscure.zip. Прикрепите их к следующему сообщению.

Прикрепляю лог-файлы.

Отключите:
-ПК от интернета
-Все защитные приложения
Подключите:
-Диск E:\
-Диск D:\
Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('D:\WINDOWS\system32\drivers\RKHit.sys','');
QuarantineFile('D:\WINDOWS\System32\poof','');
QuarantineFile('D:\WINDOWS\System32\kprof','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.48579.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.46506.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.44674.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.44253.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.43923.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.43392.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.41629.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.41379.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.40868.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.40618.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.39867.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.39647.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.33548.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.33488.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.32306.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31164.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31124.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31044.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31034.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30553.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30313.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30243.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30103.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.29662.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.29151.exe','');
QuarantineFile('D:\WINDOWS\System32\pdmd53hdf.dll','');
QuarantineFile('D:\pagefile.pif','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\WINDOWS\system32\dnsq.dll','');
DeleteFile('D:\WINDOWS\System32\kprof');
DeleteFile('D:\WINDOWS\System32\poof');
DeleteFile('D:\WINDOWS\system32\drivers\RKHit.sys');
DeleteFile('D:\WINDOWS\system32\dnsq.dll');
DeleteFile('E:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\pagefile.pif');
DeleteFile('D:\WINDOWS\System32\pdmd53hdf.dll');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.29151.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.29662.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30103.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30243.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30313.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30553.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31034.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31044.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31124.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31164.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.32306.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.33488.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.33548.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.39647.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.39867.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.40618.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.40868.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.41379.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.41629.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.43392.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.43923.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.44253.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.44674.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.46506.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.48579.exe');
DelBHO('8D5849A2-93F3-429D-FF34-260A2068897C');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('kprof');
BC_DeleteSvc('poof');
BC_DeleteSvc('RkHit');
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Обновите базы AVZ (Файл->Обновление баз).
Сделайте повторные логи.

Относительно посланного карантина: перед получением вашего собщения я удалил файлы "D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.", поскольку часто исчезал рабочий стол. Наверно не надо было это делать. Извините пожалуйста. Дальше буду выполнять только ваши указания.

Пункт меню "File->Update Database" в AVZ неактивный. Но 7-й стандартный скрипт (для лаборатории Касперского) также обновляет базы. Можно воспользоваться этим скриптом?

[QUOTE='Mustang;778291']Можно воспользоваться этим скриптом[/QUOTE]
Нет, не стоит.
Попробуйте запустить нормальную версию AVZ и обновить базы. Если не выйдет, то сделайте повторные логи полиморфным AVZ.

Логи прикреплены. Запустить нормальную версию AVZ не получилось.

Да, враги ещё остались.
Отключите:
-ПК от интернета
-Все защитные приложения
Подключите:
-Диск E:\
-Диск С:\
Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
BC_DeleteFile('D:\WINDOWS\system32\dnsq.dll');
DeleteFile('E:\autorun.inf');
DeleteFile('C:\autorun.inf');
BC_DeleteFile('E:\autorun.inf');
BC_DeleteFile('D:\autorun.inf');
BC_DeleteFile('C:\autorun.inf');
BC_DeleteFile('D:\pagefile.pif');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Сделайте повторные логи.

Карантин пустой. Логи прикреплены.

Появились ещё и новые действующие лица.
Кстати, Вы диски C:\ и E:\ подключали?
Отключите:
-Все защитные приложения
Подключите:
-Диск C:\
-Диск E:\
Выполните скрипт в AVZ:
[CODE]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 90000, false);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('d:\windows\system32\com\smss.exe');
QuarantineFile('D:\Documents and Settings\All Users\Start Menu\Programs\Startup\~.exe ','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('d:\windows\system32\com\smss.exe','');
DeleteFile('D:\Documents and Settings\All Users\Start Menu\Programs\Startup\~.exe ');
DeleteFile('d:\windows\system32\com\smss.exe');
BC_DeleteFile('D:\WINDOWS\system32\dnsq.dll');
BC_DeleteFile('D:\pagefile.pif');
BC_DeleteFile('D:\autorun.inf');
BC_DeleteFile('E:\autorun.inf');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Сделайте повторные логи.
Попробуйте сделать [URL="http://virusinfo.info/showthread.php?t=53070"]лог MBAM[/URL].

[QUOTE=hedgars;778356]Кстати, Вы диски C:\ и E:\ подключали?
[/QUOTE]
Я отмечал их в списке дисков окна AVZ. Или надо для этого еше что-нибудь делать?
А диск D:\ (системный) не надо подключать?

[QUOTE='Mustang;778396']А диск D:\ (системный) не надо подключать?[/QUOTE]Программа сама разберется

Выполняйте написанное

Логи прикреплены.

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все найденное

Лог прикреплен.

Теперь сделайте новые логи AVZ

Логи:

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\system32\dnsq.dll');
DeleteFile('D:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи