Помогите узнать,найти и удалить вирус

[siniypank]

я и ето тоже зделаю

Добавлено через 1 минуту

Логи вылажывать из под Live CD, или с под системы?

[kps]

логи делать в системе.

[siniypank]

поразительно теперь они все Win32.Sector.9 а не 5 как раньше было

[kps]

Лечите с DrWeb Live CD? После лечения желательно еще раз проверить, чтобы убедиться, все ли вылечено.

[siniypank]

да я его сейчас под Live CD а потоп из другого компа пройдусь по нему

[siniypank]

Значит ситуация такова, проверял CureIT-ом из под LiveCD все екзешники заражыны были Win32.Sector 9 вылечил и несколь модифицированых Win32.Sector 5 которые не хотели лечить пришлось удалить, потом винт подключил к чистой машине и опять проверил CureIT-ом все было чисто, логи зделал из мучительной системы

[siniypank]

Safe Mode - по прежнему не грузиться но зато диспетчер зада и реестр запускаеться. Да еще при запуске диспетчера задач чере 15 сек в процесах появляеться wuauclt.exe, а также много процесов svchost и переодически то появляеться то исчезает какойто LOCAL~

[kps]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\HPDESK\lttwn80n.dll','');
 DeleteFile('C:\WINDOWS\system32\drivers\jlqoin.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('asc3360pr');
BC_Activate;
ExecuteRepair(10);
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=27725 ).

Очистите временные папки и кеш браузера.
Проверьте, заработал ли безопасный режим.
Сделайте полную проверку в AVPTool.
У Вас подозрительные записи в файле Hosts - его можно очистить таким скриптом в AVZ:

begin
ClearHostsFile;
end.

Сделайте новые логи.

[siniypank]

Извените но карантин отправил без пароля

Добавлено через 9 минут

На ноч я ставил полнуюю проверку CureIT-ом так он нашел модифицированых Win32.Sector 5 по пути D:\System Volume Information\_restore{C74DFD9F-30CA-4D20-BFF0-B43E1F1064A4}\RP276 - удалил

[Rene-gad]

D:\System Volume Information\_restore

А кто ж Вас надоумил, системное восстановление включить...

[siniypank]

Я его не включал (как отключил согласно правил так и не трогал)

Добавлено через 2 минуты

оно и сейчас отключено

[siniypank]

Проверил AVPTool было найдено 2 штуки Worm.Win32.AutoRun.lnr (в AVZ) и троянская программа Trojan-Downloader.Win32.Mutant.atz (в NOD32) я их удалил. Вот следуюшие логи

[Rene-gad]

Я его не включал (как отключил согласно правил так и не трогал) ...оно и сейчас отключено

А где же доктор зловреда нашел:

D:\System Volume Information\_restore{C74DFD9F-30CA-4D20-BFF0-B43E1F1064A4}\RP276

[siniypank]

У меня два диска С - системный D- простой, нашел он его тогда когда проверял из под системы ане из LiveCD и с помошю другова компа

Добавлено через 3 минуты

Safe Mode - уже работает за что большое спасибо

[Rene-gad]

В логах чисто:

Имеется

Platform: WindowsXP  SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
C:\Program Files\Java\jre1.5.0_06\

Должно быть

Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
C:\Program Files\Java\jre1.6.0_07\

Вопросы, пожелания, проблемы?

[kps]

По информации из лога AVZ системное восстановление у Вас отключено.
Похоже, мы победили файловый вирус - поздравляю
На всякий случай выполните такой скрипт в AVZ:

begin
DeleteFileMask('D:\System Volume Information', '*.*', true);
RebootWindows(false);
end.

Какие-то проблемы остались?

[siniypank]

Огромное при огромное вам спасибо за помощь , ведь Вы мне дали возможность в понедельник уйти в отпуск с чистой душой. Как мне Вас отблагодорить?

[Rene-gad]

Как мне Вас отблагодорить?

Посмотрите ссылку в подписи у меня или у коллеги kps

[siniypank]

Я еще вчера той сылочкой воспользовался , и завтра еще воспользуюсь

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 7
• Обработано файлов: 49
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\iexplorer.exe - Trojan.Win32.Buzus.niu (DrWEB: Trojan.MulDrop.18267)
  2. c:\\windows\\services.exe - Virus.Win32.Sality.aa (DrWEB: Win32.Sector.9)
  3. f:\\autorun.inf - Worm.Win32.AutoRun.lnr (DrWEB: Win32.HLLW.Autoruner.2566)
  4. f:\\erth.exe - Virus.Win32.Sality.aa (DrWEB: Win32.Sector.9)
  5. f:\\ipyixv.exe - Virus.Win32.Sality.aa (DrWEB: Win32.Sector.9)
  6. f:\\osypp.exe - Virus.Win32.Sality.aa (DrWEB: Win32.Sector.9)
  7. f:\\qvbe.exe - Virus.Win32.Sality.aa (DrWEB: Win32.Sector.9)
  8. f:\\vtopg.cmd - Virus.Win32.Sality.aa (DrWEB: Win32.Sector.9)