Файл wmdrtc32.dll заражен червем Email-Worm.Win32.Warezov.et

Доброго времени суток.
Поробую вкратце изложить ситуацию:
Вчера после перезагрузки заметил, что половина программ не загрузилась, ребутнулся еще пару раз - безрезультатно. Заметил, что многие экзэшники (драйвера мыши, касперского, аутпоста и пр) отсутствуют, даже если переустановить программу, после ребута исчезают.
АВЗ жалуется на файлы:
E:\WINDOWS\system32\wmdrtc32.dll
E:\WINDOWS\system32\win26825.dll
E:\WINDOWS\system32\wmdrtc32.bak
E:\windows\system32\wmdconf32.dl_
Говорит троян, кейлоггер.
Вроди как удаляет их после ребута, но при загрузке они снова появляются.
Помогите пожалуйста, буду очень благодарен.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\WINDOWS\system32\wmdrtc32.dll','');
QuarantineFile('E:\WINDOWS\system32\wmdconf32.dll','');
QuarantineFile('E:\WINDOWS\system32\win26825.dll','');
QuarantineFile('E:\WINDOWS\killcopy.dll','');
QuarantineFile('e:\program files\ultranet\auth\aaa.exe','');
RebootWindows(false);
end.[/CODE]
После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".

Если я правильно понял, должен загрузить папку карантина в архиве с пароем virus через эту страничку: [url]http://virusinfo.info/upload_virus.php[/url]

Но оно не грузится, пишет не верная ссылка на форум. там стоит образец [url]http://virusinfo.info/showthread.php?[/url][COLOR=Red][B]t[/B][/COLOR]=XXXX а у меня [url]http://virusinfo.info/showthread.php?[/url][B][COLOR=Red]p[/COLOR][/B]=103183, возможно из-за этого.
Выложил архив под постом.

P.S.: после использования скрипта ничего не изменилось, все так же мрут экзешники.

[QUOTE]там стоит образец [url]http://virusinfo.info/showthread.php?t=XXXX[/url][/QUOTE]В Вашем случае будет [url]http://virusinfo.info/showthread.php?t=8903[/url]

e:\windows\system32\wmdrtc32.dll - [B]Email-Worm.Win32.Warezov.et[/B] (По Kaspersky)
Остальные в карантин не попали :(

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] такой скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('E:\WINDOWS\system32\wmdconf32.dll','');
QuarantineFile('E:\WINDOWS\system32\win26825.dll','');
QuarantineFile('E:\WINDOWS\killcopy.dll','');
QuarantineFile('e:\program files\ultranet\auth\aaa.exe','');
DeleteFile('e:\windows\system32\wmdrtc32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки пришлите файлы карантина по правилам раздела "Помогите". Повторите логи, а также добавьте файл boot_clr.log из папки AVZ.

А они в карантин почемуто и не попадают, я уже думал об этом.
Сейчаз скрипт сделаю и выложу.
программы killcopy и aaa это популярная качалка и авторизатор для инета соответственно. проверял их, ничего подозрительного.

Сделал все как вы описали, на 1 загрузку все пропало, Кав загрузился... Но после ребута все вернулось и опять та же беда.
Выслал через форму вирус по правилам раздела "Помогите" и выложил новые логи.
Постоянно в систем32 висит файл wmdrtc32.dl_, не распознается ничем как вредоносный обьект.
При удалении wmdrtc32.dll иногда на его месте появляется wmdrtc32.bak

В логах активного Warezov нет. Сдается мне что он пролезает через расшаренные ресурсы (папки, диски). У Вас стоит Антивирус Касперского, он этот вирус детектит, следовательно от него Ваш компьютер должен быть защищенным. Советую разобраться с расшаренными ресурсами и запустить проверку Касперским загрузившись в безопасном режиме. Также если Вас не затруднит, выполните [URL="http://www.virusinfo.info/showthread.php?t=3519"]такую[/URL] процедуру

Скачате DrWeb CureIT (ссылка в правилах);
Загрузитесь в Safe Mode (безопасный режим, жмакать F8 при загрузке);
отсканируйте систему излечимое лечить, неизлечимое удалять.

У Вас поражение файловым вирусом - Win32.Sector.28682 (DrWeb) (W32.HLLP.Sality-Symantec)

[color=#CC0000]
pps Большая просьба не прикреплять зловредов к теме, для этого существует специальная форма для загрузки, см правила.[/color]

После того как появился вирус безапасный режим не грузится. когда жмякаю кнопку безопасного режима, идет секунд 5 загрузка и ребут..
А касперский после загрузки живет не более 1 минуты. потом просто исчезает, как и фаерволл.:(
А шар я не держу, так то врядли откудато он сливается

Тогда сканируте систему в обычном режиме, только на время лечения, ни в коем случае, ничего кроме антивируса не запускайте, иначе получите повторное заражение вылеченных файлов. Сделайте сканирование как минимум два раза подряд.

CureIT - [url]ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe[/url]

[url]http://www.freedrweb.com/cureit/[/url]

Вы можете хотя бы на время лечения "прикрыть" расшаренные папки?

У меня нет шар, вообще.

[QUOTE]У меня нет шар, вообще.[/QUOTE]Должно быть я перепутал... Прошу прощения.

3 раза проверился Доктором вебом, который скачал по вашей ссылке, все 3 раза находит п 400+ инфицированых экзешников и вот этот файл: E:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP6\PdmHist\c08.2A12DC6C01C77B45.history\00000008.bak.
Симптомы те же, программы мрут, касперсуий не пускается, безопасный режим не грузится. Доктор веб все файлы вроди как лечит, но тут же или после ребута пускаю еще раз все сканировать, находит тоже самое.
АВЗ также находит файл E:\WINDOWS\system32\wmdrtc32.dll, но удалять его отказывается, даже после ребута:(
Что делать дальше?

Да, надо диск цеплять к чистой машине и оттуда сканировать.

Сегодня на конец-то взял виндоус лайф-сд. Пустился с него, прверился доктором вебом, АВЗ; снес все файлы, которые раньше не мог удалить. Еще вчера засетил в диспетчере задач процесс _start.exe, которого раньше никогда не видел. Пробовал убивать с авторана, не помогло. С того же лайф-цд удалил все его запуски в реестре. Проверился еще раз- все чисто. Загрузился под своей системой, проверился - чисто, запускаются касперский и фаерволл. Но безопасный режим по прежнему не грузится, в чем может быть проблема?

Всем спасибо за оказанную помощь!

A пилюлю N10 пробовали ? если нет, вот она :
Выполнить скрипт в авз для восстановления безопасного режима :
[code]
begin
ExecuteRepair(10);
RebootWindows(false);
end.
[/code]

А что она делает? и почему когда пишешь RebootWindows(false); всеравно ребутится? ведь по идее должна система ребутиться только при значении True?

Ну я же написал для чего ..."для восстановления безопасного режима "
Ну про false , я тоже так думал раньше .Однако это не так .режим false это перегрузка без корректного завершения программ,(что-то типа нажимания на кнопку reset .
с true обычно долго ждать(пока все программы завершаться ) и иногда может всё зависнуть.Ну как , помогло после исполнения скрипта ?

Наоборот. False - мягкий режим, с рассылкой сообщений, ожиданием завершения приложений, мягким отключением внешних пользователей и т.д. True - форсированный, типа через Ctrl+Alt+Del и там кнопка Завершение.

Мнения поменялись :
[url]http://virusinfo.info/showpost.php?p=95153&postcount=6[/url]

нет, не помогло.

М... еще проблемка: виндоус дочень долго грузится и 8 раз и 10 виснет при выключении. можно с этим чтонибудь поделать? система стоит уже 2.5 года.... так неохота переустанавливаеть, сами понимаете.

Как-то довольно долго созревал ответ :)Но лучше поздно , чем никогда .

[code]
Здравствуйте,

avz00001.dta, avz00003.dta - Email-Worm.Win32.Warezov.et

Эти файлы определяются антивирусом. Обновите антивирусные базы.

avz00002.dta - Trojan-Proxy.Win32.Agent.ll

Детектирование файла будет добавлено в следующее обновление.

Пожалуйста, при ответе включайте переписку целиком.

--
С уважением, Кирилл Ерахтин
Вирусный аналитик Лаборатории Касперского.
e-mail: [email protected]
http://www.kaspersky.com/



> Attachment: 070410_003300_virus_461aa2fc868fa.zip

> VirusInfo Из темы http://virusinfo.info/showthread.php?t=8903 070410_003300_virus_461aa2fc868fa.zip
>
[/code]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] e:\\windows\\system32\\win26825.dll - [B]Trojan-Proxy.Win32.Agent.ll[/B] (DrWEB: Trojan.Spambot)[*] e:\\windows\\system32\\wmdrtc32.bak - [B]Virus.Win32.Sality.s[/B] (DrWEB: Win32.Sector.28682)[*] e:\\windows\\system32\\wmdrtc32.dll - [B]Virus.Win32.Sality.s[/B] (DrWEB: Win32.Sector.28682)[/LIST][/LIST]