"Перезагрузочные" вирусы на ноутбуке и неудаляемый файл-экзешник

Здравствуйте!
16 апреля в середине дня у меня начал при всякой попытке входа в Интернет перезагружаться компьютер. Потом он стал перезагружаться и просто так. Антивирус (Симантек) почему-то не хотел работать. Когда удалось всё же его включить, он перед каждой перезагрузкой обнаруживал Backdoor.Rustock.

Полное сканирование всего компьютера Симантеком особых результатов не дало, но хотя бы в отсутствии подключения к Интернету перезагружаться комп перестал.

17 апреля благодаря усилиям одного знакомого ноутбук стал нормально вести себя и при выходе в сеть. Все необходимые обновления системы безопасности были установлены. Скачан ДокторВеб, который, кстати, нашёл 10 инфицированных объектов и удалил их.
Однако остался подозрительный скрытый файл fxembk.exe, который не удаляется в обычном режиме, а в безопасном удаляется, но после перезагрузки возникает опять. В свойствах файла дата создания - 16.04.2010, примерно в то время, когда начались все проблемы.

При подключении к Интернету каждый раз выдаётся какая-то ошибка, приходится нажимать кнопку "исправить" в окошке подключения по локальной сети.

Вчера, 18 апреля, появился новый неизвестный процесс pajok.exe.

Отчёты прилагаются.

Прилагаются куда? Здесь их нет

Вот, собственно, файлы отчётов.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\pajok.exe');
TerminateProcessByName('c:\docume~1\user_01\locals~1\temp\vwj6d.tmp');
TerminateProcessByName('C:\WINDOWS\system32\moboucou.exe');
TerminateProcessByName('c:\docume~1\user_01\locals~1\temp\2813932.exe');
QuarantineFile('C:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\Perfume.exe','');
QuarantineFile('C:\Documents and Settings\user_01\Application Data\fxembk.exe','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\zmhhdtudnttp.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\gwvaohi.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\anqlznxfa.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\mequmwcunqg.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\ojibcslfamsl.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\qaesgc.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\iraoycyemjbbftv.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\wtdwqisxvvb.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\zxwwrcyckvt.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\fejnocqzgcomgk.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\gbweyhvwktyo.sys','');
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\cwgmtvjdvtz.sys','');
QuarantineFile('c:\docume~1\user_01\locals~1\temp\vwj6d.tmp','');
QuarantineFile('c:\windows\system32\pajok.exe','');
QuarantineFile('C:\WINDOWS\system32\moboucou.exe','');
QuarantineFile('c:\docume~1\user_01\locals~1\temp\2813932.exe','');
DeleteFile('c:\docume~1\user_01\locals~1\temp\2813932.exe');
DeleteFile('C:\WINDOWS\system32\moboucou.exe');
DeleteFile('c:\windows\system32\pajok.exe');
DeleteFile('c:\docume~1\user_01\locals~1\temp\vwj6d.tmp');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\cwgmtvjdvtz.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\gbweyhvwktyo.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\zmhhdtudnttp.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\fejnocqzgcomgk.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\zxwwrcyckvt.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\wtdwqisxvvb.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\iraoycyemjbbftv.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\qaesgc.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\ojibcslfamsl.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\mequmwcunqg.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\anqlznxfa.sys');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\gwvaohi.sys');
DeleteFile('C:\Documents and Settings\user_01\Application Data\fxembk.exe');
DeleteFile('C:\SYSTEM\S-1-5-21-1482476501-1644491937-682003330-1013\Perfume.exe');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-22CX3C644241}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
DeleteFileMask('C:\SYSTEM', '*.*', true);
DeleteDirectory('C:\SYSTEM');
DeleteService('yocctzsvux');
DeleteService('wsapsexrtttj');
DeleteService('wktfydunp');
DeleteService('vlpgzzptpbdllbz');
DeleteService('uyxlkmvywjkkcce');
DeleteService('trxgfbmuxrjp');
DeleteService('qzyewwwaq');
DeleteService('oejsymnmopdrx');
DeleteService('kewdbpglqoata');
DeleteService('jarhtixvntuw');
DeleteService('gzounvorio');
DeleteService('daogktutrivloxj');
DeleteService('buaidehdyfosreo');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Скрипт выполнила, карантин, вроде, загрузила. Он дошёл? А то в теме здесь не отображается.
Сейчас логи сделаю.

Карантин получен

Отчёты - дубль 2

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\dnhwame.sys','');
DeleteService('trxgfbmuxrjp');
DeleteFile('C:\DOCUME~1\user_01\LOCALS~1\Temp\dnhwame.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + сообщите, решена ли проблема

Отправила второй карантин. Сейчас сделаю логи.

Логи AVZ отправляю, а вот с HiJackThis вопрос: там теперь немного другой набор кнопок доступен: вместо "Do a system scan and save a logfile" есть просто "Scan" и "Info on selected item". Просто "скан" нажать достатчно будет?

Извините, пожалуйста, сморозила глупость. Там просто другой вид меню надо было выбрать.
Вот третий отчёт.
Проблема, вроде, устранена, хотя иногда всё же приходится перед заходом в Интернет нажимать "Исправить", но редко.
Спасибо!

Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\Userinit.exe[/CODE]Больше ничего плохого

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url]
Установите [url="www.adobe.com/products/acrobat/"]Adobe Acrobat 9.3[/url] или удалите старый
Обновите [url="http://www.java.com/ru/download/manual.jsp"]JavaRE[/url]

Спасибо вам большое!:)

[size="1"][color="#666686"][B][I]Добавлено через 53 минуты[/I][/B][/color][/size]

Прошу прощения, что всё никак не унимаюсь с вопросами.

Сейчас в ходе "беглой" проверки ДокторВеб нашёл и удалил пять инфицированных объектов в папке C:\Documents and Settings\user_01\Local Settings\Temp. Все 5 файлов имею числовое название и расширение .exe.
Угроза квалифицирована как Trojan.DownLoad1.54003

Из неудалённых экзешников с числовым названием в той папке остались:
097.exe
459.exe
641.exe
669.exe
764.exe
960.exe
994.exe
1631.exe, 3734.exe, 4486.exe, 4558.exe, 5955.exe, 7700.exe, 8636.exe, 046117.exe, 82497.exe, 881505.exe, 993484.exe, 6310392.exe, 7958249.exe

Даты создания "свежие": с 17 по 20 апреля сего года.

Не могли бы вы это тоже посмотреть, пожалуйста?

Если даёте добро, то напишите, please, как их можно вам выслать. Тоже через карантин АВЗ?

Да, в карантин их.

Закачала карантин.

Кстати, сейчас, когда заходила в Нет, опять пришлось жать кнопку "Исправить". И вылезло сообщение, в заголовке окошечка - надпись "16-разрядная подсистема MS DOS". В самом сообщении вот что:
______________________________
C:\DOCUME~1\user_01\LOCALS~1\Temp\897.exe
процессор NTVDM обнаружил недопустимую инструкцию.
(дальше очень много цифр и букв)
Для завершения работы приложения нажмите кнопку "Закрыть".
______________________________

Когда собирала карантин на отправку, в указанной папке такого файла не было:(
В свойствах пишет: создан 21 апреля 2010 г., 8:27:33.
То есть пять минут назад.

Сделайте такой лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]

Лог сделала. Пока заходила в интернет и т.д. Симантек внезапно распознал-таки в шести из указанных выше экзешников вирусы и переместил в карантин.

В отчёте, который сейчас отправляю, не все подозрительные, на мой взгляд, файлы из вот этой папки:
C:\Documents and Settings\user_01\Local Settings\Temp


Сейчас там 15 файлов с числовыми названиями и расширением .exe

Запакуйте все подобные файлы в архив с паролем [B]virus[/B] и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

После этого [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите в МВАМ[/URL] все найденное + вручную удалите все файлы, не попавшие в лог МВАМ

Карантин отправила.

[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]

Извините за паникёрство: решила добавить в карантин ещё кое-какие файлы. По ходу выяснила, что следующие файлы в карантин помещаться не хотят:

C:\Documents and Settings\user_01\Local Settings\Temp\MRBF.tmp
C:\Documents and Settings\user_01\Local Settings\Temp\MRBE.tmp
C:\Documents and Settings\user_01\Local Settings\Temp\MRB1D.tmp
C:\Documents and Settings\user_01\Local Settings\Temp\icvqmjylswf9F9F9517.tmp
C:\Documents and Settings\user_01\Local Settings\Temp\~DFC51B.tmp
C:\Documents and Settings\user_01\Local Settings\Temp\fqGF4+SX.htm.part

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Сейчас выполняю проверку в МВАМ, чтобы потом удалить файлы, как вы и сказали. Пока проверяется, решила посмотреть, что где может быть не так. Снова появился файл, который в прошлые разы пытались удалить - и удалили! - с помощью АВЗ:
C:\Documents and Settings\user_01\Application Data\fxembk.exe

В свойствах у него:
создан 21 апреля 201 г., изменён 17 апреля, а открыт 22 апреля. Дурдом какой-то...

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Появился он и в C:\Documents and Settings\Администратор\Application Data\fxembk.exe

Странно, что его ещё нет по адресу C:\Documents and Settings\All Users\Application Data

Сделайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 час 4 минуты[/I][/B][/color][/size]

097.exe и подобные оказались html-страницами :)

Лог сделан.

Примерно 2 часа назад появилось вот это:
C:\Documents and Settings\user_01\tfow.exe

Это результат сканирования последней рекомендованной программой и так должно быть? Или опять что-то "само по себе" создалось?

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\drivers\njfwgntc.sys
c:\documents and settings\user_01\tfow.exe
c:\windows\system32\moboucou.exe
c:\windows\system32\pajok.exe
c:\documents and settings\user_01\Application Data\fxembk.exe

Driver::
njfwgntc
zpie92ioranmacfy

Folder::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"mygav"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Всё выполнила, как вы сказали.

Что сейчас с проблемой?

Проблема пока молчит, спасибо!
Подожду до завтра - если ничего не народится, значит, всё пришло в норму:D

Здравствуйте!

У меня вопрос "чайника": что делать с теми вирусами, которые были перемещены в карантин? Они оттуда пакостить могут ещё?
И нужно ли периодически из карантина накопившееся удалять?

В ходе всех проверок в карантине АВЗ оказалось некоторое количество вирусов. АВЗ их переименовал, всё в порядке, жить не мешали. Но при полной проверке компьютера Симантек эти переименованные вирусы идентифицировал и удалил.

Утилита ДокторВеб делает то же самое по отношению к карантину Симантека: "обнаруживает" в его карантине вирусы (если есть) и удаляет.
Вопрос: не лучше ли чистить карантин сразу самому пользователю?

Кстати, а если файл удалить из карантина, он стирается полностью?

Буду благодарна за разъяснения! :)

[QUOTE='Katherine_dea;634022']Вопрос: не лучше ли чистить карантин сразу самому пользователю?[/QUOTE] Можно и сразу вычистить, но иногда бывают ложняки. Если вдруг такое произойдет, то не восстановите.

А так два а/вируса карантины друг другу очень любят зачищать не смотря на то, что там переименованные файлы лежат.

Спасибо вам, PavelA!
Всё ясно: лучше не трогать, они сами всё сделают.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]67[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\user_01\application data\fxembk.exe - [B]Packed.Win32.Krap.gy[/B] ( DrWEB: Trojan.MulDrop.55658, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Spambot-EL [Trj] )[*] c:\documents and settings\user_01\local settings\temp\vwjc.tmp - [B]Trojan.Win32.Agent.dvnu[/B] ( DrWEB: Trojan.WinSpy.711, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\documents and settings\user_01\local settings\temp\vwj2.tmp - [B]Trojan.Win32.Agent.dvnu[/B] ( DrWEB: Trojan.WinSpy.711, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\documents and settings\user_01\local settings\temp\5955.exe - [B]Trojan.Win32.Inject.aoxm[/B] ( DrWEB: BackDoor.Siggen.14741, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\documents and settings\user_01\local settings\temp\641.exe - [B]Trojan.Win32.Inject.aoxm[/B] ( DrWEB: BackDoor.Siggen.14741, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\documents and settings\user_01\local settings\temp\764.exe - [B]Trojan.Win32.Inject.aoxm[/B] ( DrWEB: BackDoor.Siggen.14741, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\documents and settings\user_01\local settings\temp\82497.exe - [B]Trojan.Win32.Inject.aoxm[/B] ( DrWEB: BackDoor.Siggen.14741, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\documents and settings\user_01\local settings\temp\960.exe - [B]Trojan.Win32.Inject.aoxm[/B] ( DrWEB: BackDoor.Siggen.14741, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\documents and settings\user_01\local settings\temp\993484.exe - [B]Trojan.Win32.Inject.aoxm[/B] ( DrWEB: BackDoor.Siggen.14741, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\docume~1\user_01\locals~1\temp\vwj6d.tmp - [B]Trojan.Win32.Agent.dvnu[/B] ( DrWEB: Trojan.WinSpy.711, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\docume~1\user_01\locals~1\temp\2813932.exe - [B]Trojan.Win32.Buzus.dsbk[/B] ( DrWEB: Trojan.DownLoad1.54003, BitDefender: Trojan.Generic.3831453, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\moboucou.exe - [B]Trojan.Win32.Agent.dvnu[/B] ( DrWEB: Trojan.WinSpy.711, AVAST4: Win32:Crypt-GCF [Trj] )[*] c:\windows\system32\pajok.exe - [B]Trojan.Win32.Agent.dvnu[/B] ( DrWEB: Trojan.WinSpy.711, AVAST4: Win32:Crypt-GCF [Trj] )[/LIST][/LIST]