Проблемы с Rootkit.Kryptik.AF и trojan

Здравствуйте. Пару дней назад НОД обнаружил Rootkit.Kryptik.AF, по ряду файлов написал что очистка невозможна. После проверкой cureit еще троян удалил, далее cureit и NOD писали что вирусы не обнаружены, но комп тормозил очень сильно. Сегодня проверкой Tool Касперского еще какой-то троян попался. Ну и на последок, судя по созданному архивуvirusinfo_cure, AVZ также обнаружил подозрительные файлы. Помогите определить, содержит ли комп. вирусы и что делать. Заранее спасибо. Логи (за исключением virusinfo_cure) прилагаю.

Выполните скрипт
[CODE]begin
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Samsung\Samsung New PC Studio\NPSMyExplorer.exe','');
QuarantineFile('C:\Documents and Settings\Владелец\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
DeleteFile('C:\Documents and Settings\Владелец\Главное меню\Программы\Автозагрузка\siszyd32.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
end.[/CODE]
Закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Спасибо за быстрый ответ. Скрипт выполнил. Пункты 1-3 также. Новые логи прикрепляю. Не понял, какой карантин закачать, после выполнения скрипта или в AVZ после п.1-2.

Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Samsung\Samsung New PC Studio\NPSMyExplorer.exe','');
QuarantineFile('C:\WINDOWS\fonts\services.exe','');
DeleteFile('C:\WINDOWS\fonts\services.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
затем следующий
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
файл [B]quarantine.zip[/B] закачайте по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B]
в шапке Вашей темы.
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Здравствуйте. С Новым годом! Карантин закачал. Новые логи прикрепляю.

Пофиксить в Hijack следующие строки:
[CODE]O4 - HKUS\S-1-5-18\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe (User 'Default user')[/CODE]
Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe','');
QuarantineFile('C:\WINDOWS\fonts\services.exe','');
DeleteFile('C:\WINDOWS\fonts\services.exe');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Здравствуйте. Профиксил. Выполнил скрипт. В конце выполнения скрипта появилось окно NOD и показало что убил вирус и сразу началась перезагрузка. Но комп. выключился, но не перезагрузился. Пункты 1-3 диагностики сделал. Логи прикрепляю

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\fonts\services.exe');
SysCleanAddFile('C:\WINDOWS\fonts\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Сделайте новые логи.

Здравствуйте. Новые логи. Терпения бы.

Пришлите этот файл: C:\WINDOWS\fonts\[B]services.exe[/B]
Как правильно искать и присылать, см. здесь [URL="http://virusinfo.info/showthread.php?t=4567"]http://virusinfo.info/showthread.php?t=4567[/URL]
Сделайте лог MBAM.

Здравствуйте. По предложенному пути такого файла нет.C:\WINDOWS\fonts\services.exe Пробовал и через AVZ и через проводник (поиск)Файл services.exe есть в других директориях. Надо ли в связи с вышеизложенным делать лог MBAM?.

Сделайте лог MBAM.

MBAM лог прикрепляю.

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Владелец\Application Data\avdrn.dat','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Удалите в MBAM
[CODE]Заражено ключей реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDORSYS (Malware.Trace) -> No action taken.

Заражено значений реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\uid (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\updatenew (Malware.Trace) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\load (Trojan.Agent) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\run (Trojan.Agent) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\load (Trojan.Agent) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\run (Trojan.Agent) -> No action taken.

Заражено параметров реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> No action taken.[/CODE]

Здравствуйте. Выполнил скрипт. карантин закачал. Далее удалил в МВАМ. При этом опять показало в результатах, что файл avdrn.dat заражен. Его не трогал.

Файл avdrn.dat--чистый, таков вердикт. Что с проблемой?

К скорости претензий нет. Как получить полную уверенность, что комп. чист? (в смысле, надо ли что-то еще сканировать?) . 10-ку рекомендаций после лечения прочитал, обязательно потрачу время на повышение безопасности. Хотя ребенок по сети лазит, то фильм, то песенка, так что не удивлюсь, если опять прийдется за помощью обращаться. Спасибо.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

При перезагрузке компа выдало сообщение, что память обратилась к какому то адресу, адрес не может может быть таким-то и ошибка приложения cvxhost.exe

[QUOTE='larganka;553607']При перезагрузке компа выдало сообщение, что память обратилась к какому то адресу, адрес не может может быть таким-то и ошибка приложения cvxhost.exe [/QUOTE]
Сделайте комплект логов.

Прилагаю новые логи

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('cvxhost.exe','');
DeleteFile('cvxhost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Скрипт выполнил. После чего запустил Spy Emergency и он еще нашел Trojan.Win32.Renova.A. Я его удалил в карантин. Что нужно еще делать?

Понаблюдайте за системой, если будут проблемы, сделайте комплект логов.

ok, спасибо

Посмотрите плз логи. Spy emergency еще раз показал троян, НОД показывает что все чисто. При выполнении скриптов создан архив virusinfo_cure. Свидетельствует ли о наличии вирусов? Спасибо.

[QUOTE='larganka;557113']При выполнении скриптов создан архив virusinfo_cure. Свидетельствует ли о наличии вирусов? [/QUOTE]
Необязательно.
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.8.99:8080[/CODE]
Знакомый прокси? Если нет, пофиксите. Больше "криминала" не увидел.

Знакомый. Спасибо.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]