win32.sector.16 и win32.sector.22

[zeekee]

Помогите пожалуйста. На компьютере заражены все .exe файлы. live cd dr.web пролечил все, но после перезагрузки вирус запускается вновь.
AVZ запускается только переименованием exe в pif.

[V_Bond]

выполните скрипт

begin
SetAVZGuardStatus(True);
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\ywhppi.pif');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\lmrkk.pif');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

заражены все .exe файлы. live cd dr.web пролечил все

значит не все ... запускайте по новой

[zeekee]

Спасибо, скрипт выполнил. После перезагрузки запустил сканирование cureit'ом и он сразу нашел процессы в памяти инфицированные win32.sector.22. Диспетчер задач и редактор реестра вновь заблокированы.

[polword]

Отключите Системное восстановление!!! как- посмотреть можно тут

- Скачайте такую утилиту и пролечитесь ей

[zeekee]

Отключите Системное восстановление!!! как- посмотреть можно тут

- Скачайте такую утилиту и пролечитесь ей

Отключил, перезагрузился и пролечил. Подскажите какой лог avz сделать для успокоения души.
Да вот еще на компьютере стоял kaspersky workstation 6.0 он так и не стартует наверное лучше переустановить?

[V_Bond]

кав естественно переустановить ...

[polword]

- Сделайте повторный лог virusinfo_syscheck.zip;

[zeekee]

- Сделайте повторный лог virusinfo_syscheck.zip;

повторный лог

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteService('amsint32');
 DeleteFile('C:\WINDOWS\system32\drivers\smrhml.sys');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте лог Gmer

[zeekee]

После перезагрузки:
- Сделайте лог Gmer

Посмотрите пожалуйста.

[polword]

- Сохраните текст ниже как 1.bat в ту же папку, где находится ybj17fxy.exe (GMER) и запустите этот батник(1.bat):

ybj17fxy.exe -del service kpblpgbo
ybj17fxy.exe -del file "C:\WINDOWS\system32\nhdzjdwt.dll"
ybj17fxy.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kpblpgbo"
ybj17fxy.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kpblpgbo"
ybj17fxy.exe -reboot

Компьютер перезагрузится.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip
- Сделайте новый лог Gmer

[zeekee]

GMER поругался.
DeleteService: Параметр задан неверно.
nhdzjdwt.dll не удается найти указанный файл.
DeleteKey: Параметр задан неверно.
DeleteKey: Параметр задан неверно.
ну и собственно перезагрузка.

Поиск по реестру нашел вот такие упоминания о kpblpgbo
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost в параметре netsvcs в списке значение есть kpblpgbo

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\R oot\LEGACY_KPBLPGBO\0000 параметр Service со значением kpblpgbo

Новые логи:

[V_Bond]

в логах ничего подозрительного

[zeekee]

V_Bond и polword, спасибо вам огромное!!!