Вирусы удаляются - их "загрузчики" остаются

[B]Добрый день![/B] :)

[B]Операционная система:[/B]
Windows XP Professional SP3
[B]Антивирусная программа: [/B]
Kaspersky Internet Security 2010 (9.0.0.463)
[B]Суть проблемы:[/B]
После того, как KIS 2010 находит и удаляет вредоносное ПО, всё, вроде бы, начинает нормально работать, хотя компьютер продолжает немного подтормаживать. Но, через некоторое время, вредоносное ПО опять появляется и KIS 2010, конечно же, его находит и удаляет. И вот так всё происходит по "замкнутому кругу" (логи прилагаются).
[B]Примеры детектируемых программ:[/B]
Backdoor.Win32.SdBot.obb, Trojan.Win32.Agent.crim, Trojan.Win32.VB.rzz, Net-Worm.Win32.Kolab.dey.
[B]
Буду благодарен за любую оказанную помощь![/B] :)
__________
Станислав

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\system32\drivers\Qsaf.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\system32\drivers\Qsaf.exe
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\drivers\qsaf.exe');
QuarantineFile('c:\windows\system32\drivers\qsaf.exe','');
QuarantineFile('C:\WINDOWS\LchDrvKey.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6477479025-5559824656-525193569-1023\mwau.exe','');
DeleteFile('c:\windows\system32\drivers\qsaf.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6477479025-5559824656-525193569-1023\mwau.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','TaskMan');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(7);
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).

Спасибо! Вот новые логи по вашей просьбе. Карантин на сервер закачал. :)

[QUOTE=Pro100;442162]Карантин на сервер закачал.[/QUOTE]Бог знает как закачали. Для кого правила писаны? >:(

[QUOTE=Rene-gad;442201]
Бог знает как закачали. Для кого правила писаны? >:(
[/QUOTE]
Без проблем - сейчас я его повторно загружу. Прошу прощения! :)

По веб-папкам :

- Выполните скрипт
[CODE]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum','{BDEADF00-C265-11D0-BCED-00A0C90AB50F}',1);
RebootWindows(true);
end.
[/CODE]

Какие ещё проблемы?

- Установите IE 8
- Обновите JavaRE
- Обновите Acrobat Reader

[QUOTE=Rene-gad;442204]
Какие ещё проблемы?
[/QUOTE]
Ну, например, при запуске интернет-браузера (Mozilla Firefox), KIS 2010 ругается на [B]Worm.Win32.Kolab.dep[/B], который находится в [B]"C:\"[/B], [B]"C:\WINDOWS"[/B], а также в [B]"C:\WINDOWS\System32"[/B], а ещё KIS 2010 ругается на какую-то ещё загрузку через [B]"explorer.exe" [/B](см. скрины) >:(

Компьютер случайно не в локальной сети? Заплатки, вышедшие после SP3, все установлены?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
TerminateProcessByName('c:\windows\system32\drivers\qsaf.exe');
QuarantineFile('c:\windows\system32\drivers\qsaf.exe','');
DeleteFile('c:\windows\system32\drivers\qsaf.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-5352462913-9335597351-194221137-0651\mwau.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','TaskMan');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

[B]Добрый день, друзья![/B] :)

Вот новые логи. Карантин "virus" загрузил.

Иногда, при загрузке интернет-браузера вылетают алерты (см. скрины) А ещё, система продолжает немного подтормаживать.

Сделайте такой лог: [url]http://virusinfo.info/showthread.php?t=40118[/url]

[QUOTE=Rene-gad;442576]
Сделайте такой лог: [URL]http://virusinfo.info/showthread.php?t=40118[/URL]
[/QUOTE]
Пожалуйста :)

Я бы с удовольствием подождал бы и не один день, но ведь вирусы в системе ещё действуют и, наверно, размножаются... Будьте добры, помогите мне с этим разобраться. :?

[QUOTE=Pro100;442681] ведь вирусы в системе ещё действуют и, наверно, размножаются...[/QUOTE]Они себя в логах не показывают.
Включите протоколлирование в Касперском (главное окно/ нажмите на ссылку Поддержка/Трассировки), когда эти окна появятся - заблокируйте их и пришлите протоколы.

[B][COLOR="Blue"]Rene-gad[/COLOR][/B], ясно... Спасибо! :)

Быть может, [B][COLOR="Red"]кто-нибудь[/COLOR][/B] ещё может что-нибудь подсказать? :clapping:

По просьбе [B]thyrex[/B]'a, сделал специальный лог MBR

Включите AVZPM и сделайте новые логи AVZ

Выкладываю новые логи (с AVZPM) :) Спасибо за помощь!

Сделайте отчет утилиты GSI [url]http://forum.kaspersky.com/index.php?showtopic=36317&view=findpost&p=764187[/url]

Новый лог GSI

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\011.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\016.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\059.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\128.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\185.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\266.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\276.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\381.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\389.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\445.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\481.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\505.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\507.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\738.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\744.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\823.exe','');
QuarantineFile('C:\Documents and Settings\Станислав\Local Settings\Temp\829.exe','');
DeleteFileMask('C:\Documents and Settings\Станислав\Local Settings\Temp\', '*.*', true);
ExecuteSysClean;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новыq отчет GSI

Загрузил карантин по красной ссылке + сделал новый лог GSI.

P.S.: AVZPM уже можно выключать или пусть будет? :)

Что с проблемой?

Вот... :censored: Даже не знаю, что делать: форматирование диска C не помогает - некоторая гадость остаётся... :censored:

Может, [B]кто-нибудь[/B] посоветует какое-нибудь [B]мега-супер-форматирование[/B], после которого вообще [B]ничего[/B] "живого" не остаётся... :clapping:

[QUOTE=Pro100;443831]форматирование диска C не помогает - некоторая гадость остаётся... :[/QUOTE]Так не бывает:) Только если Вы после установки системы что-нибудь заносите или в интернет до установки Сервис Пак 3 выходите.
Конечно патченную сборку тут тоже исключить нельзя.

ПС: Вы системный раздел УДАЛЯЕТЕ или только ФОРМАТИРУТЕ?

[QUOTE=Rene-gad;443888]
Так не бывает:)
[/QUOTE]
Бывает-бывает... Я сам проверял... :censored:

[QUOTE=Rene-gad;443888]
Только если Вы после установки системы что-нибудь заносите или в интернет до установки Сервис Пак 3 выходите.
Конечно патченную сборку тут тоже исключить нельзя.
[/QUOTE]
Я использую [B]оригинальную[/B] версию Windows XP Pro SP3.

[QUOTE=Rene-gad;443888]
ПС: Вы системный раздел УДАЛЯЕТЕ или только ФОРМАТИРУТЕ?[/QUOTE]
Ну, типо, удаляю и форматирую :)

Не люблю себя, любимого ©, цитировать, но
[QUOTE=Rene-gad;443888]Только если Вы после установки системы что-нибудь заносите[/QUOTE]Вот даже на Вашем скриншоте виден зловред в G:\Recyler\ :). Похоже, что Вам ВСЕ диски "под Котовского" побрить надо

[QUOTE=Rene-gad;443983]
Похоже, что Вам ВСЕ диски "под Котовского" побрить надо
[/QUOTE]
:furious3: :censored:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]36[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\станислав\local settings\temp\823.exe - [B]Trojan.Win32.Agent.ctiv[/B] ( DrWEB: BackDoor.IRC.Sdbot.4632 )[*] c:\recycler\s-1-5-21-6477479025-5559824656-525193569-1023\mwau.exe - [B]Worm.Win32.Agent.xz[/B] ( DrWEB: Trojan.MulDrop.33045, BitDefender: Trojan.Dropper.Agent.UPV )[*] c:\windows\system32\drivers\qsaf.exe - [B]Backdoor.Win32.SdBot.ofw[/B] ( DrWEB: BackDoor.IRC.Letmein.12, BitDefender: Trojan.Agent.ANHD )[/LIST][/LIST]