Не прошло и суток, как ОНИ вернулись...

Вчера я скачал Сервис Пак для виндов, который вы мне рекомендовали, но поставить не успел (хотел это сделать завтра, чтобы кто-то помог, я совсем не знаю как это делается)
Придя сегодня вечером домой, я проверил комп AVZ, всё было нормально. Потом я вошёл в Интернет. Через 5 мин. я заметил, что самопроизвольно отключился Фаервол (который Брандмауэр Виндоуз) и что-то подгружается при закрытых программах. Я быстро вышел, включил AVZ - и нате! ОНИ. На этот раз в виде Trojan Packed 161. Отключил Восстановление, сделал логи, включил восстановление. Шлю. (Прям чувствую, что, пока я вам пишу ОНИ вползают…)

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis (если останутся):
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
[/code]
Установите скачанный пакет обновлений - просто запустите файл,
и он все сделает сам минут за 10, в конце последует перезагрузка.

Сделайте новые логи.

Вроде что-то получилось... Только почему фаервол сам вырубается?

Ещё лог...

Однако он опять вернулся! Повторите вышеуказанный скрипт и фикс в безопасном режиме. Карантин пришлите по правилам и отправьте копию на [email][email protected][/email]. Логи придется повторить еще раз.

Всё сделал, пофиксить не удалось - нет строчек. Копию карантина отправил по почте.

Строчек не оказалось - это хорошо, скрипт на этот раз сработал.
Теперь в логах чисто.

Почему же сам отключается Фаервол? Может не так настроен? Или не те исключения? У меня иключения только Windows Comander 32 - для фтп.

Вот опять! Прошёлся avz - пишет, что функции перехвачены. Не одной страницы не открывал, кроме вашей!

Черт, опять этот ntos.exe! Восстановление системы отключено?
Вероятно лезет через какую-то дыру из сети.
Вы установили тот пакет обновлений? И антивирус поставьте срочно.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[url]http://www.kaspersky.ru/trials[/url]

Пакет я установил. А чтобы на лету ловить - антивируса у меня нет. Есть др Веб пиратский, обновленный недавно, Corelt и всё. А Восстановление я отключал и включал снова после лечения.

Я бы советовал сменить пиратского Доктора на триальный KIS (см ссылку выше). По крайней мере на месяц будете иметь хорошую защиту совершенно бесплатно. А понравится - потом лицензию можно купить.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Т.е. план такой:
1. Качаете KIS.
2. Меняете Доктора на KIS'у.
3. Обновляете KIS'e базы и отключаетесь от сети.
4. Делаете скрипт и фикс из сообщения #2 в безопасном.
5. Делаете полную проверку антивирусом.
От души надеюсь, что поможет.

Тут вот советуют бесплатный антивирус Avira. Может его можно пока?

[QUOTE][B]бесплатный [/B]антивирус[/QUOTE]
Про сыр знаете? ;)

неужели даже ВЫ?! ;-)

[size="1"][color="#666686"][B][I]Добавлено через 38 минут[/I][/B][/color][/size]

Я установил KIS. Теперь не могу войти в Безопасный режим. Сколько не давлю на F8 - никак... Чо-то я совсем запутался тут...

[QUOTE=Repetur;128305]Тут вот советуют бесплатный антивирус Avira. Может его можно пока?[/QUOTE]можно. И не только пока. Хотя и он не без проблем.

Итак, докладываю. Поставил KIS, после этого стало невозможно войти в безопасный режим, и соответственно выполнить скрипт. ОНИ ползают туда-сюда сквозь все KIS-ы, только вхожу в сеть – идет трафик. Что можно ещё предпринять, уважаемые эксперты? Спасибо заранее.

Логи по правилам заново. +
1. Отключите восстановление системы.
2. Выполнить скрипт
[QUOTE]begin
ExecuteRepair(10);
end.[/QUOTE]

Вот логи. После выполения скрипта сделать их ещё раз?

1. нет.
2. Выполните скрипт, карантин по правилам:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('MIDIDef.exe','');
QuarantineFile('\SystemRoot\system32\drivers\JulaWdm.sys','');
QuarantineFile('\SystemRoot\system32\drivers\Jula.sys','');
QuarantineFile('C:\WINDOWS\system32\wups2.dll','');
QuarantineFile('C:\WINDOWS\system32\wuaueng.dll','');
QuarantineFile('C:\WINDOWS\system32\wuauclt.exe','');
QuarantineFile('c:\windows\system32\julapan.exe','');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
3. Установите AVZPM, перезагрузитесь. AVZ Файл/Исследование системы - переключить "Только активные службы и драйверы" на "Все службы и драйверы" -Пуск/Сохранить протокол
Упакуйте протокол в архив zip или rar и прикрепите к теме вместе со стандартными логами.

Эх, а я уже логи сделал... Поторопился... Это ничего?

Ничего. Но и нам ничего не даст. Карантин отправили? См. мое предыдущее сообщение и выполните то о чем я вас прошу. Нужен именно "полный" лог.

Карантин прикрепил к теме, тут лог, стандартные логи нужны? И нужно ли отключить AVZPM?

Ну как там? Неужели всё безнадежно? Или я что-то не дослал?

Добрый вечер. Все чисто. Почему вы считаете, что вирусы остались? какие внешние проявления?

Может я уже паникую... Меня пугали тревожные красные сообщения AVZ о том. что функции перехвачены, и то, что комп не грузится в безопасном режиме, что, собственно произошло после загрузки и установки KIS, может с этим связано. Ну так как я стараюсь всё-таки предупреждать проблемы, я , может и задаю лишние вопросы. KIS переодически сообщает об атаках, но оборону, видимо, держит. Хотя какой-то маленький траффик при закрытых окнах всё-таки иногда ползёт. Но если в логах всё чисто, то вопросов, конечно. нет.)
P.S. А постоянно стучится ко мне Win.MSSQL.worm.Helkern

Выполните скрипт.
[code]begin
ExecuteRepair(10);
end.[/code] Безопасный режим должен восстановиться. Перехваты - от KIS. Атаки вам не опасны.

Скрипт выполнил - всё равно Безопасный режим никак не хочет загружаться... В остальном же всё вроде нормально, по крайней мере, до истечения действия ключа KIS-ы. И конечно спасибо вам безмерное за помощь.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]