Помогите с вирусами на Windows Server 2003!

Здравствуйте. У нас в офисе поставил недавно Windows Server 2003. Попытался поставить Касперского 7.0 на что был дан ответ что он не соответствует этой операционной ситеме. Пока искал KAV для серверной версии в интернете, нахватал вирусов. Началось все с того что при загрузке появлялось вем известное окно с просьзьбой отослать смс для разблокировки системы. Эту пролему легко нашел и вылечил Dr. Web CureIt, затем другое всплывающее окно с какой-то рекламой, Dr. Web CureIt ее тоже победил, затем наконец был утановлен KAV, он тоже нашел несколько файлов в том числе и те кот. Dr. Web CureIt запихал в карантин и благополучно удалил. Вроди я вздохнул спокойно. Сегодня утром при попытке запуска Explorer или Fierfox вылазиет окошко, но уже не с рекламой, а с откровенной (изиняюь) порнухой! KAV и Dr. Web CureIt ничего не находят. Еще что примечательно, вирус каждый раз старательно подменяет файл C:\Windows\systm32\drivers\ets\hosts поле чего ни один сайт с анитивирусами (в том числе и ваш) не грузятся.Помогите!Еще добавлю что вирус отключил сначала просмотр реестра rgedit.exe, а сегодня фиспечер задач стал неактивным

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
ExecuteAutoQuarantine;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
DeleteFile('C:\Documents and Settings\Administrator\restorer32_a.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-21-623897536-970338766-2218589064-1007\Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
RegKeyParamDel('HKEY_USERS','S-1-5-21-623897536-970338766-2218589064-1009\Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку [URL]http://virusinfo.info/upload_virus.php?tid=56055[/URL]

3. Повторите логи.

Где в Windows Server 2003 отключить "восстановление системы" я не нашел, хотя в ХР часто этим пользовался. Скрипт выполнил, файл C:\quarantine.zip ВРОДИ отослал. Просто т.к. я не могу запустить IE или Fierfox, в интернет приходится выходить через обычный "Мой компьютер", т.е. адресс вашегосайта ввожу в поле "адрес"в "Мой компьютер", после этогоокошко превращается в окно IE, но если нажать на любую внешнюю ссылку которая открывается в новом окне, то вместо этого открывается окошко с непристойным содержанием выше описаным. Выщел из ситуации тем, что открыл еще один "мой компьютер" и скопировал вашу ссылку для загрузки фала. Файл 13М загружался минут 5, шел бегунок с загрузкой, как только дошел до конца, как будто завис. Я подождал еще 5 минут и закрыл окно. Напишите если файл не отправился...попробую еще раз.
Все логи зделал по новой.

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
ExecuteRepair(9);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи

вот

Пришлите карантин.

Я же вроди присылал...но щас еще раз вышлю...

[QUOTE=1C8;477468]Где в Windows Server 2003 отключить "восстановление системы" я не нашел[/QUOTE]
Нет в 2003 сервере восстановления системы. Только архивация данных (утилита Backup). Это у меня шаблонка для ответов такая. :)

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

1. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearHostsFile;
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\XNvWtH.dll','');
QuarantineFile('C:\WINDOWS\system32\driversnt.dll','');
DeleteFile('C:\WINDOWS\system32\driversnt.dll');
DeleteFile('C:\WINDOWS\system32\XNvWtH.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=56055[/url]

2. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]O20 - AppInit_DLLs: driversnt.dll[/QUOTE]

3. Повторите лог [B]virusinfo_syscheck.[/B]

Алилуя!
Первое что заметил, так это файл hosts небыл заменен при перезагрузке вирусным...но голые бабы остались...пофикил O20 - AppInit_DLLs: driversnt.dll, бабы исчезли...наконец-то могу работать с fierfox-ом!
Карантин выслал, лог обновил.

ага....рано радовался! IE6 работатет, при попытке запустить Fierfox, все равно "люимые голые бабы"! господи...да избавте же вы меня от них! :-)

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\XNvWtH.dll');
DeleteFile('C:\WINDOWS\system32\GZgmCY.dll');
DeleteFile('C:\WINDOWS\system32\XNvWtH.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(9);
ExecuteRepair(17);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите лог [B]virusinfo_syscheck.[/B]

извиняюсь, но пока не могу перезагрузится, комп занят удаленными пользователями. А пока я заметил что файла C:\WINDOWS\system32\XNvWtH.dll не существует, зато есть похожий xKXeAv.dll И еще я заметил, что на удаленных машинах работающих в терминальном режиме с удаленным рабочим столом, постоянно выскакивает ошибка запуска какой-то библиотеки с объяснением что это не приложение win32. Причем dll-ки каждый разразные,и все они складируютя вот по этому пути C:\Documents and Settings\юзер\Local Settings\Temp\3 и все они 0-вого размера. Вот некоторые из них aVZbd.dll iwzAq.dll BANRR.dll CdSzw.dll dfJga.dll iPApr.dll и таких порядка 20 шт.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

И еще, только что просмотрел каталог system32 оказывается там таких похожих dll-ек тооже много

[QUOTE=1C8;478082]извиняюсь, но пока не могу перезагрузится, комп занят удаленными пользователями[/QUOTE]
Немного подправила скрипт. Его желательно выполнить быстрее, ну или как только появится возможность перегрузить машину.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=1C8;478082]И еще, только что просмотрел каталог system32 оказывается там таких похожих dll-ек тооже много[/QUOTE]
Основной файл зловреда мы прибили. Выполняйте скрипт.

через 5 мин. выполню скрипт, а пока вот еще чтомогу добавить...в system32 таких файлов 21 штука, все они созданы 04.11.06 хотя операционка ставилась 5 дней назад! Все они имею размер 233472 б. может быть их всех прибить ручками в FAR-е?

[QUOTE=1C8;478088]Все они имею размер 233472 б. может быть их всех прибить ручками в FAR-е?[/QUOTE]
Пока ничего не трогайте!

Изиняюсь за самоуправство, но я не дождался и их грохрул :-( выполнил скрипт, сделал лог.

FierFox запустился, regedit стал доступным, но вот диспечер задач всеравно не активный

[QUOTE=1C8;478092]но вот диспечер задач всеравно не активный[/QUOTE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ExecuteRepair(11);
RebootWindows(true);
end.[/CODE]

Проверяйте!

Аминь блин! Вроди все работает! Спс огромное!
Лог приложил.
Давайте теперь устроим разбор полетов:
Что это было? Честно говоря первый раз вижу что вирус есть а KAV его не находит!
И еще каким средством посоветуете пользоваться для защиты компьютера? На ХР я благополучно пользовался KIS, для сервера как-то KIS я не нашел...только KAV, встречали ли вы где-нить KIS для сереров?

driversnt.dll - [B]Trojan.Kor (Dr.Web)[/B]

В логах активной заразы не увидела. Сейчас скачайте свежий CureIt и сделайте полную проверку компьютера. Все что найдет - удаляйте! Это уже мусор. После еще раз все проверьте и отпишитесь в теме. Я буду на форуме до обеда. Можете также писать в джабер или воспользоваться лс.

Спасибо огромное! Никогда не думал что мне когда-то в борьбе с вирусами поможет "Девушка :) | Girl :)" Только вот интересно, когда же у Вас обед начинается....у нас например 15:15 и я уже на обеде :-) После обеда все сделаю как Вы сказали.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 37 минут[/I][/B][/color][/size]

проверку произвел, удалены были только вирусы находящиеся на карантине в AVZ папке. Примечательно что файл C:\qarantine.zip он оставил. По идее же там должны быть вирусы?

[QUOTE=1C8;478111]Примечательно что файл C:\qarantine.zip он оставил. По идее же там должны быть вирусы?[/QUOTE]
Ничего примечательного. Архивный файл под паролем.

проверил второй раз, ничего нового. зато вот это появилось:
testesttesttesttesttesttest - при английской раскладке
уыееуыееуыееуыееу - при русской

вот такие слова теперь компьютер сам печатает, если его не трогать, печатать не возможно!
Вот, а теперь пропало, все нормально....блин, опять вирус?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

уыееуые
Вот ыопять..е..еуые
БЕлин чувствуую серваык пойдеет на выходнеые с вируусом ы:-))ееуые

Это не вирус. :)

а шо это? :O

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

ну не томите душу....:?

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

это был результат работы AVZ скрипта №4?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

ааа!е точно,у запустиыл еще раез, тоуже самое.ы..е..могли ебы и сказатьу...ыВ общесм большуое Вам спасеибо!уыееуыее

[QUOTE=1C8;478212]это был результат работы AVZ[/QUOTE]
Да. Все разобрались? :)

Да, :094: спасибо Вам человеческое! :clapping:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\driversnt.dll - [B]Trojan.Win32.Delf.paj[/B] ( DrWEB: Trojan.Kor )[*] c:\windows\system32\xnvwth.dll - [B]Trojan.Win32.Delf.pba[/B] ( DrWEB: Trojan.Kor )[/LIST][/LIST]