vyre32.exe со всеми вытикающими. помогите пожалуйста.

на ноутбуке столкнулся с червем vyre32.exe. проблема появилась буквально вчера(ноут не мой, так что точно не скажу). червь постоянно дублирует себя в процессах и полностью "валит" систему.
по словам владельца при подключении к интернету (осуществляеться через "дозвон") выскакивает и начинает самодублироваться непонятная ошибка, хотя соединение присутствует. я попытался полечить через AVZ с помошью проверки на вирусы и выполнения найденых в нэте скриптов, но ничего не получилось. в конце-концов просто поотключал через msconfig с подальшим удалением их через CCleaner. подскажите, достаточно ли это для решение проблемы?
как удалить червя безвозвратно? спасибо.

Выполните пожалуйста [URL="http://virusinfo.info/pravila.html"]правила[/URL]

Прошу прощения, все сделал как надо:) проблема вроде как устранена АВПтулом. но, что б наверняка, прикрепляю логи. спасибо за помощь.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\MicrSoft.exe','');
DeleteFile('C:\WINDOWS\system32\MicrSoft.exe');
TerminateProcessByName('c:\windows\system32\poukyquoozek.exe');
QuarantineFile('c:\windows\system32\poukyquoozek.exe','');
QuarantineFile('C:\WINDOWS\system32\sime.exe','');
QuarantineFile('C:\WINDOWS\system32\poukyquoozek.exe','');
QuarantineFile('C:\WINDOWS\system32\isass.exe','');
DeleteService('nojahyoiyef');
DeleteService('e4e4ixcv8o');
DeleteService('CSNetManagerXp');
QuarantineFile('C:\WINDOWS\system32\drivers\sdido.sys','');
DeleteService('ihhdbnarff');
QuarantineFile('C:\WINDOWS\system32\drivers\pyjvypwex.sys','');
DeleteService('qvhwzfvfu');
QuarantineFile('C:\WINDOWS\system32\quyruj.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\044.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\047.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\067.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\071.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\088.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\099.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\179.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\181.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\189.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\233.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\314.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\402.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\453.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\488.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\494.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\521.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\536.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\557.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\803.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\874.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\946.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\957.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\974.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\992.exe','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
QuarantineFile('C:\WINDOWS\system32\vyre32.exe','');
DeleteFile('C:\WINDOWS\system32\vyre32.exe');
DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
DeleteFile('F:\autorun.inf');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\992.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\974.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\957.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\946.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\874.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\803.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\557.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\536.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\521.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\494.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\488.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\453.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\402.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\314.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\233.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\189.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\181.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\179.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\099.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\088.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\071.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\067.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\047.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temp\044.exe');
DeleteFile('C:\WINDOWS\system32\quyruj.exe');
DeleteFile('C:\WINDOWS\system32\drivers\pyjvypwex.sys');
DeleteFile('C:\WINDOWS\system32\drivers\sdido.sys');
DeleteFile('C:\WINDOWS\system32\isass.exe');
DeleteFile('C:\WINDOWS\system32\poukyquoozek.exe');
DeleteFile('C:\WINDOWS\system32\sime.exe');
DeleteFile('c:\windows\system32\poukyquoozek.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Скачайте [url]http://support.kaspersky.ru/faq/?qid=208639606[/url]
1. При обнаружении C:\WINDOWS\system32\Drivers\movnkpi.sys выберите [B]Карантин[/B]
Найдите папку карантина на диске C, запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
2. Еще раз запустите TDSSkiller и выберите [B]Лечить[/B]
Файлы логов TDSSkiller прикрепите к сообщению

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]

после выполнения скрипта и отправки в карантин movnkpi.sys система упала напрочь. при загрузке сплошной черный экран.
в безопасном режиме загруска останавливаеться как раз на данном файле (movnkpi.sys)

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

есть какие-то соображения?

Загрузка последней удачной не помогает?

нет. та же реакция.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

неужели прийдеться сносить систему?

1. Скачайте образ [B]ERD Commander 2005[/B], запишите на болванку и загрузитесь с созданного диска
2. Пуск - Выполнить - [B]erdregedit[/B]
3. Зайдите во [B]все[/B] ветки вида
[CODE]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
HKEY_LOCAL_MACHINE\SYSTEM\ControlSetXXX\Services\ (XXX - три цифры)[/CODE]
4. Найдите в них ветки [B]movnkpi[/B] и удалите

спасибо. завтра попробую. архив с карантином еще нужен?:)

Да, конечно

архив выложил. все выполнил в точности через ЕРД- эфект тот же.

А сам файл movnkpi.sys не удалили? Если нет, сделайте это. Карантин AVZ есть? Если да, то и его пришлите

Поищите все упоминания в реестре [B]movnkpi[/B] и удалите

нет вроде.
он в C\windows\system32 находиться?

system32\drivers

карантин отправлен.

[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]

удалил вручную. сейчас ищу по реестру. а что это за зараза такая?

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

удалил вручную, почистил все в регистре. проблема не исчезла. система так и не реагирует. в безопасном режиме загрузка остановилась на system32\DRIVERS\isapnp.sys.

Первый лог TDSSkiller не сохранился? Искать на диске С

[QUOTE='hitman_90;769132']сейчас ищу по реестру. а что это за зараза такая?[/QUOTE]Рустокоподобный драйвер

сейчас посмотрю. а че он делает?:)

[QUOTE='hitman_90;769138']а че он делает?[/QUOTE]Спамит

лог есть, но на флешку его не скинуть. система ведь только с ЕРД и запускаеться. что еще можно попробовать?

Хм, но ведь карантин TDSSkiller Вы как-то прислали

дело в том, что я его сразу на флешку и скинул. а потом система упала....

[size="1"][color="#666686"][B][I]Добавлено через 44 минуты[/I][/B][/color][/size]

что можете посоветовать?

Кроме C:\WINDOWS\system32\Drivers\movnkpi.sys и его службы, в логе TDSSkiller нет никаких иных детектов?

нет. в логе пишеться что найдено обьектов 2, но дальше значиться только movnkpi.sys

Диск, с которого устанавливалась система, есть?

к сожалению, нет. ноут не мой, да и система ставилась довольно давно.

Боюсь, что все идет к переустановке. С помощью ERD Commander спасайте ценную информацию с системного диска, переписав ее на другой

Как вариант: в ERD Commander есть возможность восстановления системы, используя точки восстановления, созданные в системе. Попробуйте ее

я так и сделал. уже скопировал на всякий случай ценную информацию через ЕРД. спасибо за оказаную помощь. я многому научился. и все же, что именно привело к такому результату? на будущее, как с этим бороться или, по возможности, избежать?
З.Ы. спасибо Вам еще раз за заботу.

Учитывая, что звереныш оказался новым, отсюда может быть такое необычное проявление при обращении к нему. Хотя странно, что это случилось при его простом карантине. Кстати, лог скопируйте тоже, а потом прикрепите все-таки

хорошо. завтра выложу лог. спасибо.

выкладываю лог. надеюсь, он Вам в чем то поможет.

кстати, какой можете посоветовать некомерческий антивирус, не требующий постоянного подключения к интернету?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]53[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\local settings\\temp\\044.exe - [B]Trojan-Downloader.Win32.Pher.hgl[/B] ( DrWEB: Trojan.Packed.21230, BitDefender: Trojan.Generic.6818452, AVAST4: Win32:Refroso-DC [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\047.exe - [B]Trojan-Downloader.Win32.Pher.hgl[/B] ( DrWEB: Trojan.Packed.21230, BitDefender: Trojan.Generic.6818452, AVAST4: Win32:Refroso-DC [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\067.exe - [B]Trojan-Downloader.Win32.Pher.hgl[/B] ( DrWEB: Trojan.Packed.21230, BitDefender: Trojan.Generic.6818452, AVAST4: Win32:Refroso-DC [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\071.exe - [B]Trojan-Downloader.Win32.Refroso.cnu[/B] ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6673613, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\local settings\\temp\\088.exe - [B]Trojan.Win32.Agent2.lvm[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\099.exe - [B]Trojan-Downloader.Win32.Refroso.coi[/B] ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6673613, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\local settings\\temp\\179.exe - [B]P2P-Worm.Win32.Palevo.emwr[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\181.exe - [B]Trojan.Win32.Agent2.lvm[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\189.exe - [B]Trojan-Downloader.Win32.Refroso.cnv[/B] ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6673613, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\local settings\\temp\\233.exe - [B]Trojan-Downloader.Win32.Refroso.cnw[/B] ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6673613, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\local settings\\temp\\314.exe - [B]P2P-Worm.Win32.Palevo.emwr[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\402.exe - [B]Trojan-Downloader.Win32.Refroso.cnv[/B] ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6673613, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\local settings\\temp\\453.exe - [B]Trojan-Downloader.Win32.Pher.hgl[/B] ( DrWEB: Trojan.Packed.21230, BitDefender: Trojan.Generic.6818452, AVAST4: Win32:Refroso-DC [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\488.exe - [B]Trojan-Downloader.Win32.Pher.hgl[/B] ( DrWEB: Trojan.Packed.21230, BitDefender: Trojan.Generic.6818452, AVAST4: Win32:Refroso-DC [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\494.exe - [B]Trojan.Win32.Agent2.lvm[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\521.exe - [B]Trojan-Downloader.Win32.Pher.hgl[/B] ( DrWEB: Trojan.Packed.21230, BitDefender: Trojan.Generic.6818452, AVAST4: Win32:Refroso-DC [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\536.exe - [B]P2P-Worm.Win32.Palevo.emwr[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\557.exe - [B]Trojan-Downloader.Win32.Pher.hgl[/B] ( DrWEB: Trojan.Packed.21230, BitDefender: Trojan.Generic.6818452, AVAST4: Win32:Refroso-DC [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\803.exe - [B]Trojan-Downloader.Win32.Refroso.coj[/B] ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.5492889, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\local settings\\temp\\874.exe - [B]Trojan.Win32.Agent2.lvm[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\946.exe - [B]Trojan-Downloader.Win32.Refroso.cnt[/B] ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6673613, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\local settings\\temp\\957.exe - [B]Trojan-Downloader.Win32.Refroso.cms[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, NOD32: Win32/Lethic.AE trojan, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\documents and settings\\admin\\local settings\\temp\\974.exe - [B]Trojan-Downloader.Win32.Refroso.cnu[/B] ( DrWEB: Trojan.DownLoader1.37726, BitDefender: Trojan.Generic.6673613, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\admin\\local settings\\temp\\992.exe - [B]Trojan.Win32.Agent2.lvm[/B] ( DrWEB: Trojan.Packed.21472, BitDefender: Trojan.Generic.7002995, AVAST4: Win32:Inject-ACZ [Trj] )[*] c:\\windows\\system32\\poukyquoozek.exe - [B]Trojan.Win32.VBKrypt.bmdt[/B] ( DrWEB: Trojan.DownLoader2.7109, BitDefender: Trojan.Generic.6015852, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\quyruj.exe - [B]Trojan.Win32.VBKrypt.bmdt[/B] ( DrWEB: Trojan.DownLoader2.7109, BitDefender: Trojan.Generic.6015852, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\umdmgr.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: Trojan.MulDrop2.12720, BitDefender: Worm.Generic.321675, NOD32: Win32/TrojanClicker.VB.NJT trojan, AVAST4: Win32:AutoRun-BRP [Trj] )[*] c:\\windows\\system32\\vyre32.exe - [B]Trojan.Win32.VBKrypt.blcz[/B] ( DrWEB: Trojan.DownLoader2.7673, BitDefender: Trojan.Generic.KD.133198, AVAST4: Win32:VB-RGE [Trj] )[*] \\tdsskiller_quarantine\\18.02.2011_21.02.02\\susp0000\\svc0000\\tsk0000.dta - [B]Rootkit.Win32.Bubnix.dwa[/B] ( DrWEB: Trojan.Spambot.9828, BitDefender: Gen:Variant.Taterf.21, AVAST4: Win32:Bubak [Rtk] )[/LIST][/LIST]