Не могу извести Begle под Вистой

Система Windows Vista 32 + AVP 7.
Был запущен файл с расширением exe. Касперский никак не прореагировал. Через 2 -3 минуты вылет в синий экран, после перезагрузки системы AVP сообщил о неких процессах пытающихся прописаться в реестр и благополучно вылетел. Сканирование Cureit выявило вирус в файле srosa.sys и его удалило. После загрузки в нормальном режиме ни AVP ни AVZ не запускаются.
Загрузился с CD – VistaPE, на другом компьютере обновил AVZ и просканировал диск С зараженного (лог прилагаю). После загрузки системы в нормальном режиме, ни AVP ни AVZ не запускаются, да и IE тоже выдает ошибку и вылетает.
На каждой флэшке, которая вставляется в зараженный комп. Касперский (на другом РС) ловит вирус Trojan-PWS.Win32.Nilage.bvl – который на зараженном компьютере ни один сканер не выявил.

virusinfo_cure - карантин, который никто не запрашивал. Хорошо, что пустой.

После очередного синего экрана заработал IE. Запущенные AVZ и Hijek (переименованные) после старта вылетают.

[URL="http://depositfiles.com/en/files/6501498"]скачайте[/URL] этот авз ... и сделайте логи ...

Да, после первого скрипта и перезагрузки система 3 раза вылетала в синий экран и только с четвертой загрузки выполнен второй скрипт.

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\system32\drivers\srosa.sys','');
TerminateProcessByName('c:\users\ase\appdata\roaming\m\flec006.exe');
QuarantineFile('c:\users\ase\appdata\roaming\m\flec006.exe','');
TerminateProcessByName('c:\windows\system32\wintems.exe');
QuarantineFile('c:\windows\system32\wintems.exe','');
DeleteFile('c:\windows\system32\wintems.exe');
DeleteFile('c:\users\ase\appdata\roaming\m\flec006.exe');
DeleteFile('C:\Windows\System32\wintems.exe');
DeleteFile('C:\Windows\system32\drivers\srosa.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...

Второе сканирование

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('c:\users\ase\appdata\roaming\m\flec006.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.[/CODE]

Логи будут сохранены: B_d.txt и boot_clr_B_d.log от Бутклинера в папке AVZ+сделайте логи по правилам...

логи 3

Выполните скрипт еще раз и повторите логи...

Логи 4

После скрипта и перезагрузки появляется окно проводника озаглавленное Select file for crack. Его выгружаю через диспетчер. Первая загрузка IE не удается, со второй он грузится.
Да, заработал Hilack переименованный, лог прилагаю тоже.
Отсутствует троян на флэшках.

Отключите восстановление системы!Выполните пункт 2 правил...

Исполнено

Повторите логи...

Отсутствует окно select...
IE по прежнему запускается со второй попытки
Троянов на флэшках нет.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O1 - Hosts: ::1 localhost
O13 - Gopher Prefix: [/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(6);
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]

Почистите систему от мусора [url]http://virusinfo.info/showthread.php?t=10025[/url] сообщите результат, в логах чисто...

CureIt! нашел Beagle ? У Вас похоже программы в автозапуске (были) подменены, иначе бы не появлялось сообщение "Select file for crack" - оно уже не появляется?

Уже не появляется, но глюки остались.
При старте защитник Windows выдает ошибку, при этом в трее висит сообщение о блокировке автозапуска каких-то программ, но при попытке просмотреть их, пишет ошибку 0x800106ba.
Касперский не запускается, при переустановке с CD, инсталятор завершается аварийно с ошибкой 2771 WholeProductFeature

Вы не ответили на вопрос, что нашла утилита CureIt!. Сделайте новый лог по пункту 10 правил. Будем карантинить программы из автозапуска.

Хух, разобрался.
Защитник ссылается на некорректное завершение какого-то процесса.
При автозапуске оказались заблокированы драйвер SoundMAx и nVidiaraid.
Касперский встал после полной деинсталяции старых останков. Счас обновится и сделаю полный прогон системы.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 58 минут[/I][/B][/color][/size]

Касперский обнаружил в файле (автозапуск которого был заблоктрован) следующее:
удалено: троянская программа Trojan-Downloader.Win32.Bagle.xi Файл: c:\program files\analog devices\core\smax4pnp.exe

Кроме того, в папке C:\Users\ase\AppData\Roaming\m\shared\ свыше сотни различных zip файлов с разным софтом (я таких и названий не знаю) и в каждом троян Trojan-Downloader.Win32.Bagle.xi

Ошибку выдавал Защитник Windows при загрузке потому, что его служба была отключнена (включается обратно через панель управления - службы).

Все работает отлично! Всем помогавшим и поддержавшим огромный РЕСПЕКТ! СПАСИБО!

Тема закрыта.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\ase\\appdata\\roaming\\m\\flec006.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[*] c:\\windows\\system32\\drivers\\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.vj[/B] (DrWEB: Win32.HLLM.Beagle)[*] c:\\windows\\system32\\wintems.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[/LIST][/LIST]