не могу справиться с ntos.exe

[COLOR=black]Здравствуйте! Не получается убрать ntos.exe. Авира постоянно отправляет скрытые объекты (всего 5 штук) в карантин, а перезагрузке он появляется снова. В системной папке его не видно, так же как и саму папку wsnpoem. В свойствах папки настройки отмечены на "отображать скрытые файлы и папки", но толку никакого. Ни папку wsnpoem, ни audio.dll, ни video.dll, ни ntos.exe, ни audio.dll.cla (всего 5 скрытых объектов) не видно. Так же он прописан в реестре, и при попытке, изменить ntos.exe на ntos.exe_ , после перезагрузки он снова себя восстанавливает. Помогите от него избавиться. Вот логи. Если что то не правильно, поправьте пожалуйста,т.к. я обыкновенный пользователь.[/COLOR]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\pagepromoterbar.dll','');
QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');
QuarantineFile('c:\z987gw.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe_','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winyg41.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winyg30.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winub30.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winsy41.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winou30.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winkq85.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winkq40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winio17.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wingn41.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winel28.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\beeper.sys','');
QuarantineFile('Redatmacprnr.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Redatmacprnr.sys','');
DeleteFile('C:\WINDOWS\system32\DRIVERS\beeper.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winel28.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingn41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winio17.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winkq40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winkq85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winou30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winsy41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winub30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winyg30.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winyg41.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe_');
DeleteService('Winub30');
DeleteService('Winyg41');
DeleteService('Winyg30');
DeleteService('Beep');
DeleteService('Winsy41');
DeleteService('Winou30');
DeleteService('Winkq85');
DeleteService('Winkq40');
DeleteService('Winio17');
DeleteService('Wingn41');
DeleteService('Winel28');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=26817[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Очистите временные папки и кеш браузера.
Сделайте новые логи.

Всё выполнила, вот новые логи. И ещё вопросик: на панели задач стало выскакивать окошко с текстом "Обновления для Вашего компьютера готовы" . Стоит ли их загружать?
Карантин отправила.

вот логи.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SetAVZGuardStatus(True);
DeleteFile('c:\z987gw.exe');
DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');
DeleteFile('C:\WINDOWS\pagepromoterbar.dll');
DelBHO('35A6E2B1-27A9-47D2-913C-559E1EF1D034');
DelBHO('BA5D8DF9-1851-4660-B3AE-89E6E030AC34');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Redatmacprnr');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Записи в файл Hosts Вы вносили? Если не Вы их вносили (они подозрительные), то выполните такой скрипт в AVZ для очистки этого файла:
[code]begin
ClearHostsFile;
end.[/code]

Вот это Вам знакомо?:
[code]O17 - HKLM\System\CCS\Services\Tcpip\..\{FBC38B90-1BC1-40C4-8F10-3446E2E855A7}: NameServer = 217.70.106.5,217.70.96.34[/code]
Если незнакомо, то [url=http://virusinfo.info/showthread.php?t=4491]пофиксите в HijackThis[/url] эту строчку.

Сделайте новые логи.

[QUOTE=sibdvor;257780]на панели задач стало выскакивать окошко с текстом "Обновления для Вашего компьютера готовы" . [/QUOTE]На панели эадач или в системном трее?

Большое Вам спасибо за помощь. Нет, ничего никуда я не вносила, и это мне не знакомо. Но я сейчас посмотрела свой регистрационный лист от Вебстрима - это мой сервер. Что делать? Тогда не фиксить? Следую Вашим рекомендациям. ntos.exe из реестра исчез. Сейчас всё остальное, прописанное Вами сделаю. И ещё: Восстановление системы пока не включать?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=Rene-gad;257812]На панели эадач или в системном трее?[/quote]
:)Я в заблуждении - там, где время стоит - в правом нижнем уголке, щит потом остаётся с восклицательным знаком.

[QUOTE=sibdvor;257813] там, где время стоит - в правом нижнем уголке, щит потом остаётся с восклицательным знаком.[/QUOTE]Это и называется системный трей (System Tray). Если там стоит жёлтый щит с воскл. знаком - значит имеются новые обновления от Микрососфт. Их надо [B]обязательно [/B]устанавливать.

[quote=Rene-gad;257819]Это и называется системный трей (System Tray). Если там стоит жёлтый щит с воскл. знаком - значит имеются новые обновления от Микрососфт. Их надо [B]обязательно [/B]устанавливать.[/quote]
Спасибо за объяснения.

А с этим что делать?

"Но я сейчас посмотрела свой регистрационный лист от Вебстрима - это мой сервер. Что делать? Тогда не фиксить? "

Попробовала выполнить скрипт для Hosts- мне пишет, что скрипт выполнен без ошибок.

[QUOTE=sibdvor;257833]А с этим что делать?[/QUOTE]Ну Вам же коллега абсолютно однозначно написал:
[QUOTE][B]Если незнакомо[/B], то пофиксите в HijackThis эту строчку.[/QUOTE]
А поскольку [B]знакомо[/B], то.... ;)

Вот новые логи.


В папке sistem32 видна папка wsnpoem, в которой остались audio.dll, video.dll, audio.dll.cla

Ничего зловредного не видно. Как работает система?

Система вроде работает нормально (да и раньше особых сбоев не было), но есть вот это:
В папке sistem32 видна папка wsnpoem, в которой остались audio.dll, video.dll, audio.dll.cla

Может всё это удалить вручную? Потому как :
"Также вирус создает в системном каталоге Windows скрытый каталог с именем «wsnpoem», в котором находятся два пустых файла — «video.dll» и «audio.dll»." Но у меня они не пустые, и имеют вес в 22, 6, и 42 Кб

Пришлите эти файлы сюда [url]http://virusinfo.info/upload_virus.php?tid=26817[/url] в архиве с паролем virus.

Почему то не получается. AVZ пишет в протоколе : "Ошибка карантина файла"
"Карантин с использованием прямого чтения - ошибка"

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
BC_QrFile('c:\windows\system32\wsnpoem\audio.dll');
BC_QrFile('c:\windows\system32\wsnpoem\video.dll');
BC_QrFile('c:\windows\system32\wsnpoem\audio.dll.cla');
BC_Activate;
RebootWindows(true);
end.[/CODE]Если карантин не пустой - закачайте его по ссылке, которую дал коллега kps.

Скрипт выполнила.
А вот что мне пишет карантин

Ошибка карантина файла, попытка прямого чтения (audio.dll video.dll audio.dll.cla)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\audio.dll video.dll audio.dll.cla)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\audio.dll video.dll audio.dll.cla)
Карантин с использованием прямого чтения - ошибка

[QUOTE=sibdvor;257940]А вот что мне пишет карантин
Ошибка карантина файла, попытка прямого чтения [/QUOTE]А файлы эти Вы видите в проводнике? Скопруйте их вручную в архив с паролем [B]virus[/B] и закачайте.

Да, они видны. Сейчас попробую.

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Вот карантин с файлами

Файл сохранён как 080721_155002_virus_4884f67a32fe8.zip
Размер файла 887

[QUOTE=sibdvor;257952]
Файл сохранён как 080721_155002_virus_4884f67a32fe8.zip
Размер файла 887[/QUOTE]В карантине только INI-файлы. Сами DLL в карантин не попали.

Посмотрите пожалуйста, может сейчас получилось?


Файл сохранён как
080722_021533_virus_488589158e642.zipРазмер файла57170MD50043468283b38883ef0091a54f6d34dd

По virustotal.com - файлы чистые.Наверное это остатки зловреда. Если в папке c:\windows\system32\wsnpoem других файлов нет - можно всю папку с содержимым -[I] фтопку[/I] ;)

Спасибо огромное за помощь!!! Так и сделаю - фтопку её!:) Искренне рада, что нашла Ваш форум, не представляю, что без Вас я бы делала (скорее всего закончилось бы переустановкой винды, чего очень не хотелось). СПАСИБО за быстроту ответов! За это время побродила у Вас, почитала. Много полезностей нашла.Теперь буду Вас рекомендовать всем своим знакомым. Ещё раз - спасибо!!!

Почитайте тут: [url]http://security-advisory.virusinfo.info/[/url] и посетите нашу Книгу жалоб и предложений (ссылка в Подписи).:)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]44[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ntos.exe - [B]Trojan-Spy.Win32.Zbot.dex[/B] (DrWEB: Trojan.PWS.Panda.7)[/LIST][/LIST]