Trojan.Packed.140 и Trojan.Nsanti.Packed

Здраствуйте! У меня похожая проблема!Многое перепробывал,сил уже нет!
Заходишь в мой компьютер, нажимаешь любой локальный диск, открывается в новом окне, хотя в свойствах стоит "открывать в одном окне"
Создаются файлы autorun.inf, uxdeiect.com, usdeiect.com на дисках.
Нельзя отобразить скрытые файлы и запустить некоторые приложения.
Проверяю антивирусом (avast!4.7), базы новые, ничего не видит.
Тестировал CureIT в безопасном режиме - найдены Trojan.Packed.140 (C:\WINDOWS\system32\amvo1.dll), и Trojan.Nsanti.Packed!
Заразил уже этим три машины!!!

Выполните правила:
[url]http://virusinfo.info/showthread.php?t=1235[/url]
тогда мы сможем вам помочь.

ЗАранее спасибо

выполните скрипт....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\gfcvbm.sys','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_QrSvc('gfcvbm');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

Я конечн извиняюсь за свою безграмотность,но что значит "выполните скрипт",как это сделать?

[URL="http://virusinfo.info/showthread.php?t=7239"]Как выполнить скрипт в AVZ[/URL]

Но пока [B][U][COLOR=#22229c]Trojan.Nsanti.Packed[/COLOR][/U][/B] так и находится через DrWeb,разделы жесткого диска,съемный диск,флешка так и открывается в новом окне,в свойствах покпки так и немогу включить функцию "показывать скрытые папки и файлы"

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('G:\autorun.inf','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\uxdeiect.com','');
QuarantineFile('C:\usdeiect.com','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\Program Files\HotKey_Driver\HotKeyDriver.exe','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('F:\autorun.inf');
DeleteFile('G:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\uxdeiect.com');
DeleteFile('D:\uxdeiect.com');
DeleteFile('F:\uxdeiect.com');
DeleteFile('G:\uxdeiect.com');
DeleteFile('C:\usdeiect.com');
DeleteFile('D:\usdeiect.com');
DeleteFile('F:\usdeiect.com');
DeleteFile('G:\usdeiect.com');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите содержимое карантина, как написано в приложении 3 правил.
(Загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=15791[/url]).
Сделайте логи еще раз.

Разделы жесткого диска открываются как положено,свойства папки работают,но DrWeb продолжает видеть вирус: объект - qnhyw.dll, путь - C:\Documents and Settings\Артур\Local settings\Temp, статус - [B][U][COLOR=#22229c]Trojan.Nsanti.Packed[/COLOR][/U][/B]

Где ваш карантин?

qnhyw.dll в логах не фигурирует. Папку
C:\Documents and Settings\Артур\Local settings\Temp
можно и нужно очистить полностью.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Посмотрите, нужно ли вам что-то из этого:
[code]
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.

из этих служб мне не нужно ничего,как их отключить?

этот скрипт отключит все ... кроме автозапуска ...
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.
[/code]

Помогите вылечить 2ю машину..проблемы такие же: [URL="http://virusinfo.info/showthread.php?p=166851#post166851"]Trojan.Packed.140 [/URL]находится через DrWeb,разделы жесткого диска открывались в новом окне,после такого как пробежался по ним AVZвобще перестали открываться(только через проводник),в свойствах покпки немогу включить функцию "показывать скрытые папки и файлы" .
Вот логи с той машины!!!

1. Карантин после сообщения #8 так и не прислали - пришлите обязательно.
Загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=15791[/url]

2. По последним логам - выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('F:\autorun.inf');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.
(также грузить тут: [url]http://virusinfo.info/upload_virus.php?tid=15791[/url]).

Вопрос!!!карантин согласно приложению 3 правил,т.е это логи которые я обычно прсылаю...т.е. мне нужно прикрепить их к теме и их же отправить по этой ссылке [url]http://virusinfo.info/upload_virus.php?tid=15791???так???[/url]

:wink_3: Фтыкать тут:
[quote]Приложение 3. Как прислать запрошенные файлы.

1. Запустите AVZ, выберите из меню "Файл" - >"Просмотр карантина".
2. Справа в списке файлов отметьте те файлы которые нужно выслать.
3. Нажмите на кнопку "Архивировать" и укажите место на диске где будет сохранён архив.

4. Загрузите полученный архив используя ссылку на станичку загрузки[/quote]

карантин к сообщениею #8 отправлен,
разделы открываются как надо,но но в свойствах папки так и немогу сделать скрытые файлы видимыми,высылаю логи и карантин

віполните скрипт ...
[code]
begin
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(true);
end.
[/code]

AVZ-Мастер поиска и устранения проблем - вібрать
>> Таймаут завершения процессов находится за пределами допустимых значений
>> Таймаут завершения служб находится за пределами допустимых значений

что из этого нужно ?
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

всё окейно
из этих служб мне ничего не нужно

тогда такой скрипт ...
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.
[/code]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.biw[/B] (DrWEB: Win32.HLLW.Autoruner.1054)[*] c:\\windows\\system32\\amvo.exe - [B]Worm.Win32.AutoRun.bjz[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] c:\\windows\\system32\\amvo0.dll - [B]Trojan-GameThief.Win32.OnLineGames.mms[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] c:\\xfoolavp.com - [B]Worm.Win32.AutoRun.bjz[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] d:\\autorun.inf - [B]Worm.Win32.AutoRun.biw[/B] (DrWEB: Win32.HLLW.Autoruner.1054)[*] f:\\autorun.inf - [B]Worm.Win32.AutoRun.biw[/B] (DrWEB: Win32.HLLW.Autoruner.1054)[*] g:\\autorun.inf - [B]Worm.Win32.AutoRun.biw[/B] (DrWEB: Win32.HLLW.Autoruner.1054)[/LIST][/LIST]