Win32/Agent.ODG вирус очистка невозможна

Здравстуйте.

04.04.2009 11:48:06 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Agent.ODG вирус очистка невозможна

- это из журнала ESET nod32 v. 4.0.314.0

Выполнил правила диагностики: [url]http://virusinfo.info/showthread.php?t=1235[/url]

в первом пункте вместо virusinfo_syscure.zip создался файл virusinfo_cure.zip

при выполнении 2го пункта кроме virusinfo_syscheck.zip создались ещё 2 файла virusinfo_syscheck.xml и virusinfo_syscheck.htm

хватает ли информации, чтобы избавиться от Win32/Agent.ODG или нужно еще, чтото сделать?

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('c:\windows\promofreesoft.exe','');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('G:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

Попрежнему: Оперативная память - Win32/Agent.ODG вирус - очистка невозможна

перестал открываться диск С ошибка во вложеном файле 453.jpg

при выполнении скрипта AVZ пишет: Failed to set data for 'DisplayName'

promofreesoft.exe пришлите согласно приложению 2 правил...

[QUOTE]promofreesoft.exe_ - Trojan-Spy.Win32.Agent.akmf

Детектирование файла будет добавлено в следующее обновление.[/QUOTE]

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('G:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('c:\windows\promofreesoft.exe','');
TerminateProcessByName('c:\windows\promofreesoft.exe');
DeleteFile('c:\windows\promofreesoft.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

при выполнении скрипта AVZ пишет: Failed to set data for 'DisplayName' - так и должно быть?

пропал доступ ко всем локальным дискам, если заходить через "мой компьютер". ошибка таже (пост №3)

деинсталируйте аутпост ...
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\promofreesoft.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('G:\autorun.inf');
DeleteFile('c:\windows\promofreesoft.exe');
BC_ImportDeletedList;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи

скрипт выполнился без ошибок.
доступ к дискам открылся.

нод 32 по-прежнему видит:
04.04.2009 18:45:50 Модуль сканирования файлов, исполняемых при запуске системы оперативная память Оперативная память Win32/Agent.ODG вирус очистка невозможна

пофиксите
[code]
O17 - HKLM\System\CCS\Services\Tcpip\..\{0C9F364C-DF08-4085-B22C-E9730B0F3624}: NameServer = 85.255.112.90,85.255.112.134
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.90,85.255.112.134
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.90,85.255.112.134
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.90,85.255.112.134
[/code]
лог нода приложите ... чего он там находит ?

профиксил.
нод собственно так и пишет:

Журнал проверки
Версия базы данных сигнатур вирусов: 3987 (20090404)
Дaтa: 04.04.2009 Время: 19:12:33
Просканированные диски, папки и файлы: Оперативная память
Оперативная память - Win32/Agent.ODG вирус - очистка невозможна
Количество просканированных объектов: 538
Количество обнаруженных угроз: 1
Количество очищенных объектов:0
Время выполнения: 19:12:38 Общее время проверки: 5 сек. (00:00:05)

лог [url]http://www.gmer.net/[/url] сделайте ...

надеюсь правильно сделал

С помощью gmer удалите этот файл:

[CODE]gaopdxlkiqvrjoowbardltoqvpipmqfvifpmoy.sys [/CODE]

Скачайте [URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]IceSword[/URL], читайте [url]http://virusinfo.info/showthread.php?t=39413[/url]

Параметр для поиска:

[CODE]gaopdxserv[/CODE]

Повторите лог gmer...

gmer при попытке удалить этот файл выдает: ....системе не удается найти указаный путь

[QUOTE=Link;383123]gmer при попытке удалить этот файл выдает: ....системе не удается найти указаный путь[/QUOTE]Скачайте [url]http://malwarebytes.org/mbam.php[/url] , обовите базы, сделайте лог, ничего, кроме вышеуказанного файла, не удаляйте, перегрузитесь, повторите лог, его - в студию.

[QUOTE=Link;383123]gmer при попытке удалить этот файл выдает: ....системе не удается найти указаный путь[/QUOTE]
удаление проводите ICeSword

Нод 32 больше не видит вирус.

[QUOTE]удаление проводите ICeSword[/QUOTE]
пробовал, не удалился.

в Malwarebytes я не выделял для удаления:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\tbsb03223.tbsb03223toolbar (Adware.Trace)

нужно ли ещё раз запустить проверку и удалить?

Я просил почистить реестр с помощью IceSword...

[QUOTE=Link;383153]Нод 32 больше не видит вирус.[/QUOTE]
C:\WINDOWS\system32\gaopdxcounter (Trojan.Agent) -> Quarantined and deleted successfully. ;)
[QUOTE=Link;383153]в Malwarebytes я не выделял для удаления:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\tbsb03223.tbsb03223toolbar (Adware.Trace)

нужно ли ещё раз запустить проверку и удалить?[/QUOTE]Можете удалить.

так вот он и не чистился.

щас больше не находит "gaopdxserv" через IceSword.

Всем СПАСИБО!

Сделайте лог gmer...

[QUOTE=Гриша;383187]Сделайте лог gmer...[/QUOTE]

вот

ничего плохого ...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]36[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\promofreesoft.exe - [B]Trojan-Spy.Win32.Agent.akmf[/B][/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]