ПК постоянно виснет [Trojan-Clicker.Win32.Delf.iem ]

Здравствуйте! Вот и у меня появилась проблема с компьтером, которую я самостоятельно не решу, поэтому и обратился к вам как специалистам. Началось с того, что сначала при обращении к различным файлам появлялось окно с сообщением - отказано в доступе (или "программа не запускается (5)"), потом компьтер начал медленно загружаться и тормозить, последнее время тупо зависает. На вирусы проверял - постоянно работает ESS5, проверял и другими утилитами - вирусов не находил. Помогите разобраться, логи прилагаю.

Уважаемый(ая) [B]trovich[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Все три требуемые логи я привел во вложении к первому письму.

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Documents and Settings\Admin\Application Data\IDAVLab.exe','');
QuarantineFile('C:\WINDOWS\system32\urasvc.exe','');
BC_ImportAll;
BC_Activate;
ExecuteREpair(9);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Присланный скрипт выполнить не могу. При запуске после нескольких секунд появляется сообщение об ошибке: "Faled to set data for "DisplayName", после чего скрипт останавливается>:(.

Изменил скрипт. Как теперь?

Скопировал, запустил, результат тот же - появляется то же самое сообщение. А в протоколе AVZ вот что написано:
"Запуск приложения net.exe stop tcpip /yОшибка карантина файла, попытка прямого чтения (C:\Documents and Settings\Admin\Application Data\IDAVLab.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Documents and Settings\Admin\Application Data\IDAVLab.exe)
Карантин с использованием прямого чтения - ошибка
Файл успешно помещен в карантин (C:\WINDOWS\system32\urasvc.exe)"

Посмотрел на этот сайт, похоже, он никакого отношения к карантину не имеет, его дата создания 1 января 2012 года, размер 701440. Поэтому и не пересылаю.

Т.е. если дата файла совпадает с датой выхода SP3 для Windows XP, его нельзя считать вредоносным? :)
Странная логика

Запакуйте файлы, которые я хотел взять в карантин, с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Вы меня неправильно поняли, попробую пояснить. Я имел ввиду, что скрипт не выполнен до конца, компьютер не перезагружался, в карантине ничего не добавилось, там остались только те файлы, что я уже присылал при оформлении заявки, а это сообщение "Файл успешно помещен в карантин (C:\WINDOWS\system32\urasvc.exe)" я посчитал ошибочным, поэтому и не стал пересылать этот файл. Теперь же я запаковал его и отправил по красной ссылке вверху темы. Название - virus.zip. Было сообщение, что этот файл успешно загружен.

Теперь подождем вердикт из вирлаба

Вердикт получен?

Пока нет

C:\WINDOWS\system32\urasvc.exe - будет детектироваться как [B]Trojan-Clicker.Win32.Delf.iem[/B]

Выполните скрипт в AVZ
[code] begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DeleteService('URAjournal');
DeleteFile('C:\WINDOWS\system32\urasvc.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

Выполнил, но снова та же ошибка. А в протоколе написано:
Запуск приложения net.exe stop tcpip /y
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Ошибка в работе антируткита [Failed to set data for 'DisplayName'], шаг [14]

Компьютер не перезагружался. Логи новые делать?

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Скачал утилиту, поместил на рабочий стол, закрыл броузеры, отключил антивирус и файервол на 10 минут, закрыл все программы (интернет не отключал). Запустил утилиту, она шустро поработала секунд 5 (примерно по шкале 90%), потом зависла и висела до включения антивируса. Дальше я ее выгрузил с помощью диспетчера задач. На диске С: искомого текстового файла не образовалось. Что дальше?

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
BC_DeleteFile('C:\WINDOWS\system32\urasvc.exe');
BC_DeleteSvc('URAjournal');
BC_Activate;
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]


- Повторите логи.

Этот скрипт вообще не запускается, сразу появляется сообщение Failed to set data for 'DisplayName'

Сможете переименовать [B]C:\WINDOWS\system32\urasvc.exe[/B] в [B]C:\WINDOWS\system32\urasvc.bak[/B]?

Перезагрузитесь.

Пробовал, но это нереально. Простым удалением (или переименовать) это невозможно, так как файлы этой папки имеют атрибут "только для чтения". Если снять этот атрибут (это удается), то удалить (или переименовать) все равно не удается. А поставить программу типа Undelete тоже не могу, так как не инсталлируется никакая программа. Похоже, все же придется сносить операционку, форматировать системный раздел и устанавливать заново ОС?

Выполните скрипт AVZ

[CODE]begin
FSResetSecurity('C:\WINDOWS\system32\urasvc.exe');
RenameFile('C:\WINDOWS\system32\urasvc.exe', 'C:\WINDOWS\system32\urasvc.bak');
RebootWindows(false);
end.[/CODE]

компьютер перезагрузится, проверьте самостоятельно файл переименован ?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

Да, наконец все получилось! Скрипт выполнен до конца, компьютер перезагрузился, файл urasvs.exe переименован в urasvs.bak.
Сейчас займусь образом uVS. Но я не знаю, как здесь передать файл архива с образом автозапуска в моем сообщении. Попробовать так, как раньше передавал логи?

[b]trovich[/b], Т.е не понимаете? Как обычный лог, прикрепляете к сообщению и все!

[quote="trovich;925406"]Но я не знаю, как здесь передать файл архива с образом автозапуска в моем сообщении. Попробовать так, как раньше передавал логи?[/quote]
файл образа uVS обычно намного больше по размеру, чем логи AVZ поэтому лучше загрузить его на файлообменник например на [url]http://rghost.ru/[/url] и тут указать ссылку на скачивание.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="trovich;925406"]urasvs.exe переименован в urasvs.bak.[/quote]
удалите его в ручную, заодно отпишитесь, что с проблемами ?

Файл создал, закачал его на файлообменник, вот ссылка: [url]http://rghost.ru/40403899[/url]. Файл с вирусом удалил теперь без проблем. С компьютером уже значительно лучше, даже запускаются некоторые файлы, чего раньше не было. Но я еще пока не все проверил. Отпишусь подробней завтра.
Спасибо за помощь! :)

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Проверил, компьютер по-прежнему виснет, может не так часто, как раньше. Но теперь появляются и синие экраны "смерти", причем с разными кодами ошибок каждый раз. Единственное улучшение - теперь вроде можна инсталлировать программы, чего раньше не было. Что делать, слать логи AVZ?

Что-то ответа долго нет. Решения нет?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\urasvc.exe - [B]Trojan-Clicker.Win32.Delf.iem[/B] ( BitDefender: Gen:Trojan.Heur.QG0@r8C5dhec )[/LIST][/LIST]

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=59446"]GSI[/URL], ссылку на результат проверки напишите.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ выполните:

Пуск | Выполнить | cmd | sfc /scannow

Утилите потребуется инсталляционный диск с которого устанавливали систему (или другой, но с тем же сервис паком и локализацией).