Помогите! ghdrive32, hddd, new1 *.exe

Добрый день. Ребята, помогите справиться с этим злодеем, вообщем месяц назад увидел в процессах ghdrive32.exe, потом начали выбиваться окна от hddd.exe, в папке system32 добавлялись экзешники от 01.ехе до 99.ехе. Начались проблемы с инетом, его либо небыло либо был очень медленный, что на сайт зайти невозможно. Переустановил систему с форматированием диска Ц (остальные оставил (фильмы, игры, софт)) 30 минут назад, сразу установил все обновления от Microsoft, qip и opera. Ничего лишнего. И опять проблемы с инетом, в процессах висит ghdrive32, пошли создаваться файлы hddd.exe и new1.exe (fewnew1.exe тудаже).
Прошу помощи от вас, ребята, буду премного благодарен. Только один ньюанс.. Я с AVZ не имел дело никогда, и как делать скрипты, делать логи я незнаю. Если сможете дословно обяъснить, в долгах не останусь ;)

Спасибо заранее.

Здравствуйте.
Логи по правилам можно сделать [URL="http://virusinfo.info/pravila.html"]так[/URL].

[QUOTE=hedgars;784945]Здравствуйте.
Логи по правилам можно сделать [URL="http://virusinfo.info/pravila.html"]так[/URL].[/QUOTE]

Спасибо, сделано. Разобрался. Логи прикрепил к посту. Жду ответа.

PS:
virusinfo_syscure.rar сделан после отмены ghdrive32.exe с процессов. Если нужно - пересканирую.

Отключите[B][COLOR="Red"]Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\15.exe','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe','');
QuarantineFile('C:\WINDOWS\ghdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\WINDOWS\ghdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe');
DeleteFile('C:\WINDOWS\system32\15.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

Обновите систему
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]

После обновления:
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]

Полное сканирование Мальваром сделал. Все обновления с майкрософта скачал. Перезагрузился, новые логи готовы.

Карантин отправлен.

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в MBAM[/URL]:
[CODE]Заражённые процессы в памяти:
c:\documents and settings\Maximus\hdddx.exe (Worm.PalDot.Gen) -> 120 -> No action taken.

Заражённые параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advanced HTTPL Enable (Worm.PalDot.Gen) -> Value: Advanced HTTPL Enable -> No action taken.

Заражённые папки:
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.

Заражённые файлы:
c:\documents and settings\Maximus\hdddx.exe (Worm.PalDot.Gen) -> No action taken.
c:\documents and settings\Maximus\hdcd.exe (Spyware.OnlineGames) -> No action taken.
c:\documents and settings\Maximus\hddd.exe (Spyware.OnlineGames) -> No action taken.
c:\documents and settings\Maximus\new1.exe (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\6RCNAP6V\new2[1].exe (Worm.Palevo.XGen) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\QXEXSLEV\new1[1].exe (Worm.Palevo.XGen) -> No action taken.
c:\WINDOWS\system32\31.exe (Worm.Palevo.XGen) -> No action taken.
e:\avz4\quarantine\2011-04-22\avz00001.dta (Worm.Palevo.XGen) -> No action taken.
e:\avz4\quarantine\2011-04-22\avz00003.dta (Worm.Palevo.XGen) -> No action taken.
e:\avz4\quarantine\2011-04-22\avz00004.dta (Spyware.OnlineGames) -> No action taken.
e:\downloads\Soft\SuMo\sumo 2.6.0.75.exe (Adware.RelevantKnowledge) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe (Worm.AutoRun.Gen) -> No action taken.
[/CODE]
Сделайте повторный лог MBAM.

Удалил. Новый лог есть.

Что с проблемой?

В автозагрузке появились какие-то непонятные символы, и постоянные попытки меня взломать, малвар блокирует. На скрине показал оба случая.

Сделайте новые логи AVZ и HijackThis.

Готово.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis[/URL]:
[CODE]F3 - REG:win.ini: load=?
F3 - REG:win.ini: run=?[/CODE]
Повторите логи.

Done. Но попытки проникновения ко мне происходят постоянно, когда захожу на какой-то сайт.. (Добавил во вложения лог проникновений)

В логах ничего плохого.
Попробуйте отключить резидентную защиту MBAM.

Хорошо. Отключить MBAM. Пока проблемов не вижу, если что - отпишусь. Надеюсь не прийдется ;)

Спасибо большое за помощь.

У меня появился вопрос. В файрволе я посмотрел сетевую активность, и счетчик накрутки NOD32 скачет бешанно. Тоесть постоянно чтото отдает и принимает. Объясните, что это показывает, может я не так понимаю?
И нормально ли это?

Скрин приложил.

[QUOTE='Zeereal;785192']И нормально ли это?[/QUOTE]
Думаю, что нормально. Скорее всего, антивирус ищет обновления баз и скачивает их.

А мне почему-то кажеться, что не нормально... :) Обновления установлены были сразу после установки антивируса.

[QUOTE='Zeereal;785375']Обновления установлены были сразу после установки антивируса. [/QUOTE]
Он же скачивает обновления баз по мере появления новых описаний вирусов. Следовательно, он будет скачивать новые описания зловредов часто.

Ничего себе. 11 600 000 000 памяти.. странновато)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\r-1-5-21-1482476501-1644491937-682003330-1013\\vcleaner.exe - [B]Trojan.Win32.Pincav.bevq[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.198213, AVAST4: Win32:Inject-AGC [Trj] )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - [B]Trojan.Win32.Menti.gery[/B] ( DrWEB: Trojan.Inject.38462, BitDefender: Trojan.Generic.KD.183259, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\ghdrive32.exe - [B]Net-Worm.Win32.Kolab.zjz[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.198209, AVAST4: Win32:Inject-AGC [Trj] )[*] c:\\windows\\system32\\15.exe - [B]Net-Worm.Win32.Kolab.zjz[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.KD.198209, AVAST4: Win32:Inject-AGC [Trj] )[/LIST][/LIST]