Воссоздаётся удаляемый файл и заблокированы некоторые программы

Добрый день.

Поудалял с компьютера кучу вирусов с помощью Virus Removal Tool и DrWeb (системный диск подцеплял для чистки к другому чистому компьютеру).
На "больном" компьютере были визуальные симптомы - постоянное обращение к дисководу для дискет, не запускались некоторые exe-шники (в том числе AVZ и CureIt), на флэшке пересоздавались скрытые авторан.ини и папка рециклер, не запускался в безопасном режиме. (На компьютере стоял и молчал AVG)

После установки "почищенного" диска обратно в компьютер и повторного сканирования с помощью Virus Removal Tool, CureIt и AVZ появились безопасный режим, прекратился треск флоппи-дисковода, перестали создаваться на флэшке автораны.

Но остался заблокирован запуск некоторых файлов, продолжает восстанавливаться после удаления с перезагрузкой (через AVZ) файл Win\system32\appmgmts.dll (в свойствах производитель - шеньженьский QVOD технолоджи) - он вызывает подозрение у AVZ.

p.s. безопасный режим опять не загружается - доходит до синего окна с сообщением о якобы сбойном диске, который надо тестировать

virusinfo_syscheck.zip создавался на компьютере без подключения к интернету

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
O2 - BHO: zyhlibP - {59E7ACF5-7887-4256-89DC-133B9D9D0424} - (no file)
O2 - BHO: (no name) - {CF272101-7F6E-4CF2-9453-B4C5D2FC32C0} - (no file)
[/CODE]
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZPMStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
StopService('fuj');
StopService('acpi24Drv');
StopService('vyuki');
QuarantineFile('C:\WINDOWS\vsrd.exe','');
QuarantineFile('C:\WINDOWS\system32\vyook.exe','');
StopService('DescriptionHero2');
QuarantineFile('C:\WINDOWS\system32\QIRCXRLAIX\D001.exe','');
DeleteService('fuj');
QuarantineFile('C:\WINDOWS\system32\QIRCXRLAIX\M001.exe','');
DeleteService('vyuki');
StopService('vyuki');
QuarantineFile('C:\WINDOWS\system32\acpi24.sys','');
DeleteService('acpi24Drv');
QuarantineFile('C:\WINDOWS\system32\drivers\uooasd.sys','');
DeleteService('jwzgrnuzq');
StopService('jwzgrnuzq');
DeleteFile('C:\WINDOWS\system32\drivers\uooasd.sys');
DeleteFile('C:\WINDOWS\system32\acpi24.sys');
DeleteFile('C:\WINDOWS\system32\QIRCXRLAIX\M001.exe');
DeleteFile('C:\WINDOWS\system32\QIRCXRLAIX\D001.exe');
BC_ImportAll;
ExecuteSysClean;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

повторные логи
карантин отправил

1.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
StopService('nykhlpphfefgho');
QuarantineFile('C:\WINDOWS\system32\drivers\dsyvtsy.sys','');
BC_ImportAll;
BC_QrFile('C:\WINDOWS\system32\drivers\dsyvtsy.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

повторный карантин отправил

поищите файл C:\WINDOWS\system32\drivers\dsyvtsy.sys, если найдете попробуйте заархивировать в архив ZIP с паролем: [COLOR="Red"]virus[/COLOR] и пришлите его по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы.

-если так не получится, сделайте так

1. Загрузитесь с LiveCD или подключите винчестер к другому компьютеру
2. Скопируйте C:\WINDOWS\system32\drivers\dsyvtsy.sys в другую папку и переименуйте
3. Удалите файл в исходном месте
4. Загрузитесь в нормальном режиме и отключите антивирус
5. Заархивируйте переименованный файл в архив ZIP с паролем: [COLOR="Red"]virus[/COLOR] и пришлите его по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы.
6. Сделайте новые логи

файл C:\WINDOWS\system32\drivers\dsyvtsy.sys не обнаруживается ни на работающем компьютере, ни на диске, снятом и подключенном к другому копьютеру

На работающем компьютере продолжает восстанавливаться файл C:\WINDOWS\system32\appmgmts.dll и стало видно восстановление в корне диска С его "родственника" (судя по названию производителя) booter.exe/
Оба файла стали позволять удалять себя вручную, но после перезагрузки восстанавливаются.

[QUOTE=ysb;594113] C:\WINDOWS\system32\appmgmts.dll [/QUOTE] - чистый.
сделайте лог virusinfo_syscheck.zip

[QUOTE=polword;594191]- чистый.[/QUOTE]
Теперь в его свойствах написано - разработчик Майкрософт :)

p.s. после перезагрузки снова - "разработчик QVOD" и восстанавливается в корне диска booter.exe

Лог прилагаю

попробуйте найти и скопировать файл C:\WINDOWS\system32\drivers\dsyvtsy.sys с помощью ICE Sword
[URL="http://virusinfo.info/showthread.php?t=17109"]как скопировать с помощью ICE Sword[/URL]

если получится - заархивируйте в zip архив с паролем - [COLOR="Red"]virus[/COLOR] и пришлите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

С помощью ICE Sword такой файл тоже не виден и не находится поиском

Здравствуйте. Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\dsyvtsy.sys','');
DeleteService('nykhlpphfefgho');
QuarantineFile('C:\WINDOWS\System32\drivers\GDEMGS.SYS','');
DeleteService('GDEMGS');
QuarantineFile('C:\WINDOWS\vsrd.exe','');
DeleteService('trsdg');
QuarantineFile('C:\WINDOWS\system32\vyook.exe','');
DeleteService('DescriptionHero2');
DeleteFile('C:\WINDOWS\system32\vyook.exe');
DeleteFile('C:\WINDOWS\vsrd.exe');
DeleteFile('C:\WINDOWS\System32\drivers\GDEMGS.SYS');
DeleteFile('C:\WINDOWS\system32\drivers\dsyvtsy.sys');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Добрый вечер.
Карантин выслал, логи прилагаю.

Два надоедливых файла после скрипта продолжают самовосстанавливаться

Пофиксить в Hijack
[CODE]O20 - Winlogon Notify: crypt - crypts.dll (file missing)[/CODE]
Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\crypts.dll','');
QuarantineFile('C:\WINDOWS\system32\appmgmts.dll','');
RenameFile('%windir%\system32\appmgmts.dll', '%windir%\system32\appmgmts.bak');
CopyFile('%windir%\system32\dllcache\appmgmts.dll', '%windir%\system32\appmgmts.dll');
DeleteFile('%windir%\system32\appmgmts.bak');
DeleteFile('C:\WINDOWS\system32\crypts.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Карантин отправил, логи прилагаю.
Два QVOD-овских файла продолжают восстанавливаться

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('digeste.dll','');
QuarantineFile('C:\WINDOWS\system32\actmovieh.exe','');
RenameFile('%windir%\system32\appmgmts.dll', '%windir%\system32\appmgmts.bak');
CopyFile('%windir%\system32\dllcache\appmgmts.dll', '%windir%\system32\appmgmts.dll');
DeleteFile('%windir%\system32\appmgmts.bak');
DeleteFile('C:\WINDOWS\system32\actmovieh.exe');
DeleteFile('digeste.dll');
ExecuteSysClean;
Executerepair(10);
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Карантин отправил, логи прилагаю

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('digeste.dll','');
QuarantineFile('C:\WINDOWS\system32\digeste.dll','');
DeleteFile('C:\WINDOWS\system32\actmovieh.exe');
DeleteFile('digeste.dll');
DeleteFile('C:\WINDOWS\system32\digeste.dll');
BC_ImportAll;
BC_DeleteFile('C:\WINDOWS\system32\actmovieh.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Сделайте замену файла appmgmts.dll из дистрибутива. Как проводить замену, см. здесь--[URL]http://virusinfo.info/showthread.php?t=51654[/URL]

Карантин отправил
appmgmts.dll заменял и из dllcache (был Майкрософтовский) и из дистрибутива - после перезагрузки меняется на QVOD-ский и воссоздаётся уделённый из корня exe-шник

Сделайте комплект логов, + логи Gmer и MBAM.

Прилагаю логи

Сделайте лог MBAM

Логи MBAM
первый - первоначальный
второй - после лечения результатов проверки и перезагрузки

Сделайте новый лог virusinfo_syscheck.zip

Новый лог

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DelInfo.bin ','');
QuarantineFile('C:\booter.exe','');
DeleteFile('C:\booter.exe');
DeleteFile('C:\DelInfo.bin ');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Затем замените эти файлы из дистрибутива
[QUOTE]System32\appmgmts.dll
System32\qmgr.dll [/QUOTE]
Как проводить замену, см. здесь--[URL]http://virusinfo.info/showthread.php?t=51654[/URL]
Сделайте новый лог virusinfo_syscheck.zip

[B]booter.exe[/B] восстанавливаться перестал
[B]appmgmts.dll[/B] заменяться на китайский перестал
[B]qmgr.dll[/B] заменил, но вроде бы стоял родной (не чем было проверить контрольную сумму)

лог прилагаю

Пока ждал подтверждения/опровержения чистоты лога, запустил exe-шник с флэшки, на которой приносил на "больной" компьютер рекомендуемые скрипты. :hang1: (компьютер стоял в ожидании, и антивирус был отключен на время формирования логов - как раз его собирался переустановить).
Снова началось постоянное обращение флоппи-дисководу и при подключении диска к "чистому" компьютеру ДрВеб стал опрелять на нём Win32.HLLW.Viking.55
На "заразном" компьютере сформировать логи пока не получается - АВЗ выдаёт ошибку.
После лечения файлов на снятом диске попробую ещё раз сформировать логи для проверки :wacko:

Ещё раз сделанный лог, после лечения файлов от Win32.HLLW.Viking.55
и после установки ДрВеб и Аутпост

В логе чисто, что с проблемой?

[QUOTE=shapel;596070]В логе чисто, что с проблемой?[/QUOTE]
Спасибо, проблема вроде бы "отпала".
Хорошо хоть ДрВеб наконец-то стал определять эту заразу как Win32.HLLW.Viking.55 - прошёлся антивирусом ещё раз и вылечил кучу заражённых exe-шников (правда многие из них после лечения оказались уменьшенными на сотню мегабайт :) ).
До этого ни ДрВеб, ни Kaspersky Virus Removal Tool, ни AVG были с ней не знакомы. При проверке с чистого компьютера ничего не находилось и, после выполнения скриптов, всё начиналось сначала.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]41[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\appmgmts.dll - [B]Trojan-Downloader.Win32.Agent.dfca[/B] ( DrWEB: Win32.HLLW.Viking.55, NOD32: Win32/KillAV.NHZ trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]