Уже распространённая на сегодняшний день проблема msvmiode.exe и cfdrive32.exe

Долгое время пытался сам бороться с данной заразой, но она всегда восстанавливается даже после чистки регистра. По мимо этих двух файлов-заразителей были замечены ещё и : syscr.exe, lolgnkm.exe, lzgai.exe. Последнее время вирус стал активно развиваться и появилось много новых файлов таких как: kdkirvk.exe, pvusjdp.exe и т.п.
Вирусы, сначало при запуске компьютера, сначала открывают папку "мои документы", затем сильно грузят систему, после вырубают звук, ну и конечно же, как уже многими говорилось ранее качают из интернета (или создают) множество файлов с цифровым названием и расширением "exe" в папке "temp" и "system32". Последнее время проблемы стали вобще плачевными т.к. компьютер работает не больше недели, а затем полностью перестаёт работать интернет. Переустановка системы не помогает - несколько раз полностью сносил систему и форматировал диск, но стоит только подключиться к интернету как все эти файлы вновь появляются (теория что вирус где-то на сменных носителях невозможна).

Очень прошу помочь! Уже извёлся с этой проблемой.

virusinfo_syscheck.zip не создается, не знаю что не так, всё делал как вы просили, не знаете ли в чем проблема?

Что-то не так? почему был удалён virusinfo_syscure.zip?

А может был virusinfo_cure.zip все-таки? Вот и прикрепите нужный файл virusinfo_syscure.zip

Вроде проверял... чтобы точно SYS был...

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\16.exe','');
QuarantineFile('C:\WINDOWS\system32\35.exe','');
QuarantineFile('C:\WINDOWS\system32\26.exe','');
QuarantineFile('C:\WINDOWS\system32\41.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\system32\51.exe','');
QuarantineFile('C:\WINDOWS\cypvwhf.exe','');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0568959887-2804586738-132787065-1281\mcssc.exe,explorer.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0568959887-2804586738-132787065-1281\mcssc.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\xtxjgik.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\aenxvsb.exe','');
QuarantineFile('c:\windows\system32\msvmiode.exe','');
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
QuarantineFile('c:\windows\cfdrive32.exe','');
TerminateProcessByName('c:\windows\cfdrive32.exe');
DeleteFile('c:\windows\cfdrive32.exe');
DeleteFile('c:\windows\system32\msvmiode.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\aenxvsb.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\xtxjgik.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsgs');
DeleteFile('C:\RECYCLER\S-1-5-21-0568959887-2804586738-132787065-1281\mcssc.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
DeleteFile('C:\RECYCLER\S-1-5-21-0568959887-2804586738-132787065-1281\mcssc.exe,explorer.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGA');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
DeleteFile('C:\WINDOWS\cypvwhf.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
DeleteFile('C:\WINDOWS\system32\51.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\WINDOWS\system32\41.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
DeleteFile('C:\WINDOWS\system32\16.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]

quarantine.zip - отослал ранее, прикрепляю оставшиеся:

Что с проблемой?

После выполнения скрипта вирусы были удалены, но при следующем же запуске интернета стали восстанавливаться. Некоторые стали появляться под новыми названиями.

- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]

Выкладываю:

Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::
c:\documents and settings\Admin\Application Data\pbjkxfm.exe
c:\windows\system32\42.exe
c:\windows\system32\40.exe
c:\windows\system32\38.exe
c:\documents and settings\NetworkService\Application Data\ioxsdgv.exe
c:\windows\system32\24.exe
c:\windows\system32\msvmiode.exe
c:\windows\cfdrive32.exe
c:\documents and settings\Admin\Application Data\ltzqai.exe
c:\documents and settings\NetworkService\Application Data\hytmp.exe
c:\windows\system32\53.exe
c:\windows\system32\36.exe
c:\windows\edaujsn.exe
c:\windows\system32\41.exe
c:\windows\system32\48.exe
c:\windows\widrive32.exe
c:\windows\system32\07.exe
c:\windows\system32\68.exe
c:\windows\system32\86.exe
c:\windows\irrvkix.exe
c:\windows\system32\46.exe
c:\windows\ebldw.exe
c:\windows\system32\65.exe
c:\windows\swfjm.exe
c:\recycler\S-1-5-21-9992336565-8768838304-545690893-1584\mcssc.exe
c:\windows\edaujsn.exe

Driver::

NetSvc::

Folder::
c:\temp\FR90PE
c:\recycler\S-1-5-21-9992336565-8768838304-545690893-1584

Registry::

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Готово:

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::

File::
c:\documents and settings\Admin\Application Data\dtjinwh.exe
c:\documents and settings\NetworkService\Application Data\gceixni.exe
c:\windows\system32\88.exe
c:\windows\system32\22.exe
c:\windows\system32\04.exe
c:\windows\system32\54.exe
c:\windows\system32\35.exe
c:\windows\system32\21.exe
c:\windows\system32\42.exe
c:\windows\system32\40.exe
c:\windows\system32\24.exe
c:\windows\system32\msvmiode.exe
c:\windows\cfdrive32.exe
c:\windows\system32\53.exe
c:\windows\system32\36.exe
c:\windows\edaujsn.exe
c:\windows\system32\41.exe
c:\windows\system32\48.exe
c:\windows\widrive32.exe
c:\windows\system32\umdmgr.exe
c:\windows\system32\07.exe
c:\windows\system32\68.exe
c:\windows\system32\86.exe
c:\windows\irrvkix.exe
c:\windows\system32\46.exe
c:\windows\ebldw.exe
c:\windows\system32\65.exe

Driver::

Folder::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Driversys"=-
"VGA"=-
"335"=-

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"VGAResolution"=-
"msnmsgs"=-
"Driversys"=-
"VGA"=-

[HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run]
"msnmsgs"=-
"Driversys"=-
"VGA"=-

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Не уверен всё-ли правильно... последний лог выполнил дважды, т.к. первый раз он завершился ошибкой. Выкладываю:

Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::
c:\recycler\S-1-5-21-5971720240-7672303375-180055782-1776\mcssc.exe
c:\windows\edaujsn.exe
c:\windows\system32\65.exe
c:\windows\ebldw.exe
c:\windows\system32\46.exe
c:\windows\irrvkix.exe
c:\windows\system32\86.exe
c:\windows\system32\68.exe
c:\windows\system32\07.exe
c:\windows\system32\umdmgr.exe
c:\windows\widrive32.exe
c:\windows\system32\48.exe
c:\windows\system32\41.exe
c:\windows\edaujsn.exe
c:\windows\system32\36.exe
c:\windows\system32\53.exe
c:\windows\cfdrive32.exe
c:\windows\system32\msvmiode.exe
c:\documents and settings\NetworkService\Application Data\ecbvbve.exe
c:\windows\system32\81.exe
c:\windows\system32\33.exe
c:\windows\system32\06.exe
c:\windows\system32\78.exe
c:\windows\system32\88.exe
c:\windows\system32\22.exe
c:\windows\system32\04.exe
c:\windows\system32\54.exe
c:\windows\system32\35.exe
c:\windows\system32\21.exe
c:\windows\system32\42.exe
c:\windows\system32\40.exe
c:\windows\system32\24.exe

Driver::

NetSvc::

Folder::

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Driversys"=-

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Отчет не сохраняет. Трижды перевыполнял лог. Пишет "Do not run any programs until ComboFix has finished". И кроме того, всё стало сильно глючить и виснуть. Даже перезагрузка не помогает.

- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR];

Готово

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- [URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

Выполнил. ComboFix уже был удалён.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 3 минуты[/I][/B][/color][/size]

После этого процесса полетел microsoft word 2007. Говорит что приложение не установленно для данного пользователя. В итоге теперь не удаляется и не восстанавливается.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]33[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\s-1-5-21-0568959887-2804586738-132787065-1281\\mcssc.exe - [B]P2P-Worm.Win32.Palevo.awqs[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.5098261, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\cypvwhf.exe - [B]P2P-Worm.Win32.Palevo.awqs[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.5098261, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\system32\\16.exe - [B]P2P-Worm.Win32.Palevo.awqs[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.5098261, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\system32\\26.exe - [B]P2P-Worm.Win32.Palevo.awqs[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.5098261, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\system32\\41.exe - [B]P2P-Worm.Win32.Palevo.awpj[/B] ( DrWEB: Trojan.MulDrop1.48639, BitDefender: Worm.Generic.279571, NOD32: Win32/Peerfrag.IM worm, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]