wwwznv32.exe

Здравствуйте!
Данный файл забился в автозапуск, грузит svchost, отключить нельзя, т.к. вырубается вся система.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS\system32\a88079c7.exe','');
QuarantineFile('C:\WINDOWS\system32\pdwsrn.exe','');
DeleteFile('C:\WINDOWS\system32\a88079c7.exe');
DeleteFile('C:\WINDOWS\system32\pdwsrn.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Скачайте RSIT [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

Карантин прислал
Не стало звука в опере при просмотре видео

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\mssfc.dll','');
QuarantineFile('C:\WINDOWS\system32\fjhdyfhsn.bat','');
QuarantineFile('C:\WINDOWS\system32\lmacmzb.exe','');
QuarantineFile('C:\WINDOWS\system32\tarzjit.exe','');
DeleteFile('C:\WINDOWS\system32\tarzjit.exe');
DeleteFile('C:\WINDOWS\system32\lmacmzb.exe');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
DeleteFile('C:\WINDOWS\system32\mssfc.dll');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
QuarantineFile('C:\Documents and Settings\Rom\Главное меню\Программы\Автозагрузка\wwwznv32.exe','');
DeleteFile('C:\Documents and Settings\Rom\Главное меню\Программы\Автозагрузка\wwwznv32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_DeleteFile('C:\WINDOWS\system32\mssfc.dll');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте повторный лог RSIT

Не могу прислать карантин, пишет: "Ошибка загрузки. Данный файл уже был загружен"

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\Rom\Главное меню\Программы\Автозагрузка\wwwznv32.exe');
DeleteFile('C:\WINDOWS\system32\fjhdyfhsn.bat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- Профиксите в HijackThis если останется
[CODE]
O4 - Startup: wwwznv32.exe
[/CODE]

- Сделайте повторный лог virusinfo_syscheck.zip;

нет звука в опере

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]

Сканировать только диск С?

[QUOTE=sobrat;671077]Сканировать только диск С?[/QUOTE][QUOTE]3. Запустите [B]полное[/B] сканирование. [/QUOTE]Какие ещё вопросы?

Лог

Все еще жду помощи

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\44 (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\PdmSoftware (Trojan.Ransom) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\Rom\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.[/CODE]

удалил, комп перезагрузил, эти 7 файлов переместились в карантин, в логе поменялось только время создания файла

Где новый лог МВАМ?

Нужно ли удалить эти 7 файлов из карантина?

Лог в порядке. Карантин МВАМ можете удалить

Но проблема не исчезла: wwwznv32.exe в автозагрузке, svchost грузит проц, нет звука в опере

Сделайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

Готово

Утилита удалила файл

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::

Driver::

Folder::

Registry::
[-HKLM\~\startupfolder\C:^Documents and Settings^Rom^Главное меню^Программы^Автозагрузка^wwwznv32.exe]

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделал.
Файла ComboFix.txt в корневике С нет.
На диске С создались: папка Qoobox (в ней несколько папок и файлов, там есть ComboFix2.txt ) и какая то штука в виде экранчика с названием ComboFix (при нажатии на нее происходит тоже самое, что и при входе в "Мой компьютер", только путь выглядит так: C:\ComboFix)

Еще раз ComboFix запустите на выполнение

Готово

Удалите вручную в реестре ветку [CODE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Documents and Settings^Rom^Главное меню^Программы^Автозагрузка^wwwznv32.exe[/CODE]

Удалил

Проблема решена?

Похоже на то.
Что сделать с этой папкой Qoobox? Просто стереть ее? ComboFix.exe еще туда в карантин файлы закинул

Запакуйте, пожалуйста, папку [B]C:\Qoobox\Quarantine[/B] с паролем [B]virus[/B] и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.
Если почтовый сервер не будет пропускать письмо, выложите архив на файлообменник, а на указанный e-mail отправьте письмо со ссылкой на скачивание.

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

Выслал

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Установите [url="www.adobe.com/products/acrobat/"]Adobe Acrobat 9.3[/url] или удалите старый

Установил IE8 и Adobe Reader 9.3.3 (Adobe Acrobat 9 не ставил, он платный)

[QUOTE=sobrat;671686]Adobe Acrobat 9 не ставил, он платный[/QUOTE]... да и не нужен никому ;).
Проблема решена?

Эта проблема решена, но на диске Д появилась папка "found.000", она пустая, если удалить, появляется опять. Подскажите, что это такое?

Вы проверку диска Д:\ а ошибки делали?

Если папка пустая - попрбоуйте Пуск/Выполнить.../cmd + ВВОД.
Скопируйте команду:
[CODE]rd /s /q d:\found.000[/CODE]
+ ВВОД.

[QUOTE=Rene-gad;671720]Вы проверку диска Д:\ а ошибки делали?[/QUOTE]
Не делал ничего, только удалил ComboFix и MBAM, установил IE8 + AR9.3, при чем все на диск С, добавил в автозагрузку программы, которые убрал ранее на время лечения.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

Сделал команду в cmd как вы сказали, папка удалилась, но тут же появилась опять. Теперь при попытке в нее войти вылазиет: "Нет доступа к D:\found.000. Отказано в доступе". При попытке выполнить команду в cmd еще раз, пишет отказано в доступе. Так же в трее при первом вводе команды вылез восклицательный знак с ошибкой диска Д.... чего-то там (не успел прочитать).

[size="1"][color="#666686"][B][I]Добавлено через 50 минут[/I][/B][/color][/size]

[QUOTE=Rene-gad;671720]Вы проверку диска Д:\ а ошибки делали?[/QUOTE]
Сейчас, прочитав еще раз эту строку, я вспомнил, что делал проверку диска Д на ошибки некоторое время назад, посмотрел на дату создания папки "found.000" - 2 июня 2010. Но как-будто ее не было раньше в этом месте, не мог же я ее в упор не видеть 1,5 мес. Но вопрос теперь в другом: нужно ли сейчас чего-то с ней делать или больно плевать и пусть будет (папка пустая)?

[QUOTE='sobrat;671726']Но как-будто ее не было раньше в этом месте[/QUOTE]Это скрытая папка. Показ скрытых и системных файлов появился после работы ComboFix

[QUOTE=thyrex;671774]Это скрытая папка. Показ скрытых и системных файлов появился после работы ComboFix[/QUOTE]
У меня все время включен показ скрытых файлов и папок, но ее не было:) В общем сделал я эту папку скрытой, хотя все равно видно:)....Я так понял ничего с ней делать не надо...Если все так, то значит проблем больше нет, ВСЕМ большое спасибо за помощь!!!

Оставьте ее в покое :)

Оставил.
Еще раз выражаю благодарность polword, Rene-gad и особую thyrex, за то что возился со мной больше всех!!!:)