Мы атакованы Email-Worm.Win32

Коротко о главном.
С утра на рабочем столе был идеальный порядок (просто ничего не было). Появляется из ниоткуда x.bat, Harry Potter и прочая нечисть. С грехом пополам нашли причину. Попытались ручками привести в божеский вид - не получилось ! Вышли на сайт.
Всё выполнили по "Правилам ..."
При перезагрузке AVP периодически ругается и что-то удаляет, а что-то не может. System Volume Information на C: не пущает, на D: - без проблем.
HELP, HELP ME PLEASE ! :'-(

-для начала пришлите согласно [URL="http://virusinfo.info/showthread.php?t=1235"]Правил[/URL] следующие файлы:[CODE]C:\Documents and Settings\All Users\Документы\Settings\arm32.dll
C:\Documents and Settings\MK\Application Data\Mra\Update\games.dll
C:\NEWAREO\Copy_BD.bat
C:\WINDOWS\FONTS\VTT.exe
C:\Documents and Settings\MK\Local Settings\Temp\~DFC22F.tmp
C:\WINDOWS\Temp\PR71.tmp
VSStatmn32.exe
winole.exe[/CODE]

Небольшое примечение - файл ...\Settings\arm32.dll нужно копировать только через карантин AVZ 4.20, так как этот файл обычно защищается от копирования путем открытия монопольного доступа к файлу arm32.dll. И AVP кстати именно поэтому его может не видеть.

[B]Параллельно установились обновления WIN XP[/B]
[B][/B]
[B]arm32.dll[/B]:
Загрузка файла прошла неудачно
[B]games.dll[/B]:
Некорректный файл
[B]Copy_BD.bat[/B]:
Некорректный файл


ФАЙЛОВ НЕТ НА МАШИНЕ вообще:

C:\WINDOWS\FONTS\VTT.exe
C:\Documents and Settings\MK\Local Settings\Temp\~DFC22F.tmp
VSStatmn32.exe
winole.exe

Не лезет в архиве по объёму

-создайте текстовый документ в NOTEPAD (Блокнот) содержащий буквально следующее [QUOTE]begin
QuarantineFile('C:\NEWAREO\Copy_BD.bat','');
QuarantineFile('C:\Documents and Settings\MK\Application Data\Mra\Update\games.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
end.[/QUOTE] запустите AVZ > Включить AVZGuard > Файл > Выполнить скрипт > укажите путь к созданному текстовому файлу и всё пройдёт на удачно

2006-09-15.rar:
Ваш файл занимает 1.89 Мбайт байт, что превышает предел на форуме в 488.3 Кбайт для этого типа файла.

Сделал и запустил скрипт. Рисунок отправил ERROR.rar

[quote=РинатБ]2006-09-15.rar:
Ваш файл занимает 1.89 Мбайт байт, что превышает предел на форуме в 488.3 Кбайт для этого типа файла.[/quote]
-попробуйте исключить из архива самые ёмкий(е) файл(ы)
[quote=РинатБ]Сделал и запустил скрипт. Рисунок отправил ERROR.rar[/quote]
-ну рисунок то можно было и в теме выложить, быстрее былоб...

[QUOTE=РинатБ]Ваш файл занимает 1.89 Мбайт байт, что превышает предел на форуме в 488.3 Кбайт для этого типа файла.[/QUOTE]
Запрошенные файлы надо присылать в соответствии с Приложением 2, а не пытаться цеплять к теме. Оставьте место для новых логов :)

В правилах, ссылка для загрузки запрошенных файлов - [url]https://virusinfo.info/upload_virus.php[/url]

ссылка на тему: [url]http://virusinfo.info/showthread.php?t=6231[/url]

[quote=РинатБ][B]...[/B]ФАЙЛОВ НЕТ НА МАШИНЕ вообще:

C:\WINDOWS\FONTS\VTT.exe
C:\Documents and Settings\MK\Local Settings\Temp\~DFC22F.tmp
VSStatmn32.exe
winole.exe[/quote]
-попробуйте вот так: запустите AVZ > Включить AVZGuard > Сервис > Поиск файлов на диске ну и т.д. ...или с включенной блокировкой руткитов, предварительно запустив сканирование, даже, не указывая дисков, просто просканировав ОЗУ.

И так их тоже нет. Может им полный кирдык ?

[quote=РинатБ]И так их тоже нет. Может им полный кирдык ?[/quote]
-ладно, шлите те которые есть... только с учётом советов от [B]pig[/B] и от [B]Shu_b[/B]

Мужики, извините, за притормаживание. У нас уже 12.30 следующего дня.
По существу : AVZ скопировал в карантин два файла. Один ini другой dta.
Отправить уже мозгов не хватает. В ini след. инфо :

[InfectedFile]
Src=C:\Documents and Settings\All Users\Документы\Settings\arm32.dll
Infected=avz00001.dta
Virus=Добавлен из результатов поиска файлов
QDate=16.09.2006 0:11:54
Size=0
FileDate=07.09.2006 12:25:22

Что дальше делать - не знаю. Запутался окончательно.

-запакуйте в архив всё содержимое папки, имя, которой [B]2006-09-15[/B] или у Вас уже [B]2006-09-16[/B] и отправьте через форму [url]https://virusinfo.info/upload_virus.php[/url]

-уберите из топика атач немедля! ему здесь не место...
-объект C:\Documents and Settings\All Users\Документы\Settings\arm32.dll является вирусом, по классификации Dr.Web - BackDoor.Uragan, по классификации Kасперского - Trojan-Proxy.Win32.Xorpix.am

Извините, если что не так сделал

[QUOTE=РинатБ]Извините, если что не так сделал[/QUOTE]
[url]http://virusinfo.info/showthread.php?p=79431#post79431[/url]

Архив должен быть под паролем.

Удалить не могу.
не удается удалить arm32. объект используется ....
закройте все программы ....

AVZ не помог. После перезагрузки файл остался.

[quote=РинатБ]Удалить не могу.
не удается удалить arm32. объект используется ....
закройте все программы ....

AVZ не помог. После перезагрузки файл остался.[/quote]
- AVZ > Включить AVZGuard > Файл > Отложенное удаление > Укажите C:\Documents and Settings\All Users\Документы\Settings\arm32.dll > Ok > не выключая AVZGuard перегрузите Ваш ПК

перегрузил - не помогает. или резетить?

В реестре HKCU/Software/Microsoft/Windows/CurrentVersion/Explorer/ComDlg32/OpeSaveMRU/* и dll создаёт ключи с arm32.dll

HKLM/Software/Microsoft/WindowsNT/CurrentVersion/Winlogon/Notify создает arm32reg

[quote=РинатБ]перегрузил - не помогает. или резетить?[/quote]
-попробуйте использовать утилиту [URL="http://virusinfo.info/showthread.php?t=5757"]Avenger[/URL] ...в Вашем случае укажите [CODE]Files to delete:
"C:\Documents and Settings\All Users\Документы\Settings\arm32.dll"[/CODE]