Поймал заразу, не могу избавиться.

Приветствую!
Что имеется:
1. Свежую ОС Win XP SP3
2. Антивирус ESET NOD 32
3. Всё требуемое из раздела "Правила! Читать перед запросом о помощи!"

Причины обращения:
Словил неприятную гадость, не отлавливаемую NOD'ом, обнаруживаемую AVZ, но не избавляющую от этой заразы. Беглый осмотр реестра показал, что в путях HKEY_LOCAL_MACHINE и HKEY_CURRENT_USER прописывается постаянная гадость в виде aadrive32.exe, syitm.exe, acleaner.exe и ecleaner.exe. "Ручками" это дело убить не удаётся. Весь этот букет переодически вызывает в ОС страшные глюки с папками, некоторыми программами. При этом, падает интернет. Иногда зараза сопровождается сообщением об ошибке generic host process for win32 services. Почти всегда при новом старте ОС вылетает и не включается NOD.

Уважаемый(ая) [B]Grok[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

C:\Documents and Settings\Grok\Главное меню\Программы\Автозагрузка\10_147_128.bat--это Вам знакомо?

[b]Шапельский Александр[/b], да, конечно. Сие файл маршрутизации для корректной работы сети интернет провайдера.

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\aadrive32.exe');
TerminateProcessByName('C:\Documents and Settings\Grok\Application Data\5C.tmp');
TerminateProcessByName('C:\Documents and Settings\Grok\Application Data\5E.tmp');
TerminateProcessByName('c:\windows\aadrive32.exe');
QuarantineFile('C:\Documents and Settings\Grok\Application Data\5E.tmp','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
QuarantineFile('C:\Documents and Settings\Grok\Application Data\5C.tmp','');
QuarantineFile('C:\WINDOWS\system32\07.exe','');
QuarantineFile('e:\ArmAWork\mapdisk.bat','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe','');
QuarantineFile('C:\WINDOWS\aadrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\Documents and Settings\Grok\Application Data\Qlwywo.exe','');
QuarantineFile('c:\windows\aadrive32.exe','');
Deletefilemask('C:\Documents and Settings\Grok\Application Data','5?.tmp',true);
DeleteFile('c:\windows\aadrive32.exe');
DeleteFile('C:\Documents and Settings\Grok\Application Data\Qlwywo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Qlwywo');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\WINDOWS\aadrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\ecleaner.exe');
DeleteFile('C:\WINDOWS\system32\07.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"] полного сканирования МВАМ[/URL]

1. Скрипт запустил и перегрузился.
2. Проверился МВАM'ом, результат прилагаю.
3. Запрошенный карантин высылаю.
4. Высылаю повторно логи.

Чисто, проблема решена?

[b]Шапельский Александр[/b], по зарзе хвостов не наблюдаю. Но теперь выскакивает окно "Предотвращение выполнения данных - Microsoft Windows", с содержанием: "Для защиты компьютера эта программа была закрыта системой. Имя: Generic Host Process for Win32 Services. Издатель: Microsoft Corporation" и предложенем закрыть это сообщение. Так же, все ярлыки на рабочей панели потеряли свои пути, а опера просто перестала запускаться. Как я понимаю, это результат МВАM'а?

Выполните скрипт
[CODE]begin
Executerepair(9);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('PRT', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.
[/CODE]
Сделайте новый лог МВАМ

[b]Шапельский Александр[/b], скрипт выполнил. При сканировании МВАМ выявил заразу. Логи прилагаю.

Что с проблемой?

[b]Шапельский Александр[/b], проблемы с вирусами не наблюдаю. Но вопрос с не работающими ярлыками и оперой остаётся открытым.

Оперу переустановите. Если создать новый ярлык, он работает?

[b]Шапельский Александр[/b], оперу переустановлю. Ярлыки пересоздал и все исправно работают. Спасибо Вам за оперативность и профессионализм! С меня в короткие сроки "булькающее" спасибо! :)

Ок.:)

[b]Шапельский Александр[/b], не всё так гладко. Нарушил Великую заповедь и начал рано радоваться:
1. Имеющаяся опера не убивается и пишет: Error initializing Opera: module 76 (webserver).
2. Все ярлыки пересоздал, но на панели задач не убиваются, с жалобами на отсутствие доступа, якобы связанного с защитой от записи или занятостью оного другим приложением.

Попробуйте в безопасном режиме удалить ненужные ярлыки.
Оперу удалите вручную, затем установите повторно.

[b]Шапельский Александр[/b], ярлыки снёс. А вот с оперой полная засада. Вручную опера удалилась полностью (сама корневая папка на жёстком), shift+del, т.е. минуя корзину. Uninstal'ом удалить не получается, пишет Error initializing Opera: module 76 (webserver). Но и это пол беды. При попытке установить оперу в другое место установщик надолго задумывается, после чего неохотно пробует установиться, а дальше снова выскакивает тот же Error initializing Opera: module 76 (webserver), при всём при этом появляется та же папка оперы, что была удалена вручную до этого.

Сcleaner'ом очистите мусор и ошибки реестра.

[b]Шапельский Александр[/b], вопос с оперой остаётся актуальным. Почистил Сcleaner'ом всё, что только можно было почистить. Пробовал убить её через безопасный режим, чистил всё в реестре, опять же Сcleaner'ом и удалял вручную оперу, пробовал деинсталировать оперу Сcleaner'ом, но результат тот же, что и в предыдущем посте. При установке новых приложений появились жуткие тормоза. Дожидаться окошка сетапа приходится очень долго.

Выполните следующее:
1. кнопка Пуск - Выполнить ввести cmd нажать Enter;
2. ввести chkdsk c: /f /r нажать Enter. Выскочит сообщение вида:"Невозможно выполнить команду chkdsk ......"
Нажмите клавишу Y;
3. введите exit затем нажать Enter;
4. перезагрузите ПК, во время перезагрузки будет выполнена проверка и исправление ошибок

Сделайте новые логи и лог МВАМ

[b]Шапельский Александр[/b], прощу прощения, был в отъезде.
Проблема осталась, NOD ругнулся на наличия трояна и благополучно закрылся. Опера так же не удаляется и не работает. Дикие тормоза в интернете. Прилагаю все логи.

[URL="http://www.online-solutions.ru/products/osam-autorun-manager.html"]Скачайте OSAM[/URL], дождитесь окончания сканирования,
лог в виде html упакуйте в zip-архив и прикрепите к новому сообщению.

[b]Шапельский Александр[/b], готово.

Чисто.

[b]Шапельский Александр[/b], странно. MBAM постоянно блокирует попытки заразы вылезти на какой-то айпишник.

Какой IP-адрес?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\grok\\application data\\qlwywo.exe - [B]Worm.Win32.Ngrbot.bgt[/B] ( DrWEB: BackDoor.Ddoser.131, BitDefender: Gen:Variant.Tofsee.1, AVAST4: Win32:Kolab-JO [Trj] )[/LIST][/LIST]