Подозрение на вирусы

**Yulka** · 08.12.2009, 13:03

Недавно проводили очистку дисков от вирусов. Удалили все найденные
Теперь вирусы не получается обнаружить ни одним из имеющихся антивирусников (Касперский и доктор Веб) (avz обнаружил два подозрительных файла в "Моих документах"), однако после копирования информации с жесткого диска на флешку при установке её в другой компьютер срабатывают мониторы антивирусников, вирусы обнаруживаются.
К тому же оепрационная система работает некорректно

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 08.12.2009, 13:43

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\SSVICHOSST.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\svchost.exe','');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\svchost.exe');
 DeleteFile('C:\WINDOWS\system32\SSVICHOSST.exe');
 DeleteFile('H:\autorun.inf');
 DeleteFile('H:\svchost.exe');
 DeleteFile('C:\WINDOWS\Tasks\At1.job');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=62868).
Сделайте новые логи в нормальнои режиме.
Дополнительно сделайте лог gmer.

**Yulka** · 08.12.2009, 15:40

вкладываю логи после запуска скрипта

**snifer67** · 08.12.2009, 16:05

Выполните скрипт в avz

Код:

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile('J:\DRIVE_C\ARC\SERVIS\ICE.COM','');
 QuarantineFile('G:\RECYCLER\S-1-5-21-2025429265-839522115-1606980848-1004\Df8\C\Blindo40\iscript\IniMerge.exe.bak','');
 QuarantineFile('C:\WINDOWS\system32\qqdtxyxo.dll','');
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Запустите Gmer. Нажмите на кнопку «>>>» для отображения дополнительных функций программы. Выбрать вкладку CMD. В верхнее окно скопируйте текст ниже и запустите (Run)

Код:

xhskj5pi.exe -del service cvooehup 
xhskj5pi.exe -del file "C:\WINDOWS\system32\qqdtxyxo.dll"
xhskj5pi.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\cvooehup"
xhskj5pi.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\cvooehup"
xhskj5pi.exe -reboot

Сделайте новый лог gmer.

**Yulka** · 08.12.2009, 17:21

лог

**thyrex** · 08.12.2009, 17:40

В логе чисто.

Выполните скрипт в AVZ

Код:

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile('G:\=Distrib=\Portable\msconfig.exe','');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

**Yulka** · 09.12.2009, 11:35

Спасибо! вроде бы всё в порядке. Карантин пуст

**thyrex** · 09.12.2009, 14:28

Диск G - это что?

Пофиксите в Hijack

Код:

O4 - HKLM\..\Run: [MSConfig] G:\=Distrib=\Portable\msconfig.exe /auto

**Yulka** · 11.12.2009, 10:56

Сообщение от thyrex

Диск G - это что?

Это внешний винчестер

Пофиксите в Hijack

Код:

O4 - HKLM\..\Run: [MSConfig] G:\=Distrib=\Portable\msconfig.exe /auto

Пофиксила, но не поняла, что это даёт или что мне делать дальше?

**thyrex** · 11.12.2009, 20:44

При выполнении скрипта из сообщения №6 внешний винчестер был подключен?

**Yulka** · 11.12.2009, 20:59

Сообщение от thyrex

При выполнении скрипта из сообщения №6 внешний винчестер был подключен?

Да

**thyrex** · 11.12.2009, 23:13

Файл G:\=Distrib=\Portable\msconfig.exe есть в наличии? Если да, запакуйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

В противном случае можно считать лечение оконченным

**Yulka** · 12.12.2009, 12:06

Файл не найден. Спасибо!

**CyberHelper** · 13.12.2009, 12:06

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 13
В ходе лечения обнаружены вредоносные программы:
1. c:\documents and settings\администратор\application data\microsoft\svchost.exe - Trojan-Dropper.Win32.Nail.ek ( DrWEB: Trojan.MulDrop.45809, BitDefender: Trojan.Generic.2460260, AVAST4: Win32:Malware-gen )
2. h:\autorun.inf - Worm.Win32.Carrier.fk ( BitDefender: Trojan.Script.185700, NOD32: Win32/AutoRun.Delf.CN worm )
3. h:\svchost.exe - Trojan-Dropper.Win32.Nail.ek ( DrWEB: Trojan.MulDrop.45809, BitDefender: Trojan.Generic.2460260, AVAST4: Win32:Malware-gen )