Trojan-Downloader.Win32.Small.etc

[Tasha9]

В процессе работы возникают следующие неполадки: при открытии диска запускается авторан, невозможно включить показ скрытых файлов и папок (просто нет такого пункта)

[Bratez]

С помощью AVZ (Сервис - Поиск файлов на диске)
найдите и добавьте в карантин файл:
C:\WINDOWS\system32\Deleteme.vbs
Пришлите все содержимое карантина согласно приложению 3 правил.

[Tasha9]

файл выслала

[Bratez]

А где же C:\WINDOWS\system32\Deleteme.vbs ? Не нашли?
Еще поищите с помощью AVZ и пришлите файл ielp.exe.
После этого напишу скрипт лечения.

[Tasha9]

avz пишет такое:
Ошибка карантина файла "C:\ielp.exe", попытка прямого чтения
Карантин с использованием прямого чтения - ошибка

[Tasha9]

то же самое с deleteme.rbs

[Tasha9]

При попытке открыть диск, запускается процесс worm.exe, который потом создает файл C:\ielp.exe и запускает его, а потом еще C:\WINDOWS\system32\KEDLL.exe и тоже запускает

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\worm.exe');
DeleteFile('c:\windows\system32\deleteme.vbs');
DeleteFile('c:\ielp.exe');
DeleteFile('C:\autorun.*');
DeleteFile('C:\windows\system32\autorun.*');
DeleteFile('D:\autorun.*');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пофиксите в HijackThis:

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\Deleteme.vbs
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\

Потом выполните еще один скрипт:

begin
SetAVZGuardStatus(True);
RegKeyDel('HKCU','Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2');
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.

(будет перезагрузка).
После этого сделайте новые логи.

C:\WINDOWS\system32\KEDLL.exe нигде не фигурирует.
Поищите его через AVZ, если найдется - пришлите по правилам.

[Tasha9]

новые логи

[Tasha9]

Диски открываются нормально, остается проблема с отображением скрытых файлов

[Bratez]

Остались autorun.inf, остальных компонентов не видно.
Выполните такой скрипт:

begin
SetAVZGuardStatus(True);
DeleteFile('c:\ielp.exe');
DeleteFile('D:\ielp.exe');
DeleteFile('C:\autorun.*');
DeleteFile('C:\windows\system32\autorun.*');
DeleteFile('D:\autorun.*');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки включите в проводнике показ скрытых и системных файлов (пункт меню должен уже появиться) и убедитесь в отсутствии autorun.inf на C: и D:
Аккуратно проверьте все съемные носители, как описано в этой статье.

[Bratez]

Если по-прежнему не удается включить показ скрытых и системных, попробуйте в AVZ: Файл - Восстановление системы - отметить п.5,6,8 - Выполнить.

[Tasha9]

Все равно просмотреть скрытые файлы невозможно. Прикладываю логи и карантин с др. машины - там те же проблемы (скорей всего с нее и пошло распространение через флешку). В карантине есть файл KEDLL.exe, ielp.exe, iehelp.exe

[Tasha9]

Карантин получился довольно большим -482кБ. Через прикрепление файлов не отправляется. Отправить его через "Прислать запрашиваемые файлы" ?

[Bratez]

Отправить его через "Прислать запрашиваемые файлы" ?

Да, и только так! Но если это все о другом компьютере, надо открыть новую тему и все делать там.

По разблокировке пункта меню я сейчас поищу, где-то видел информацию, просто ключик в реестре поправить надо будет.

[Bratez]

Так и не смог найти, как разблокировать этот флажок
Попробуйте импортировать в реестр вот это, флажок может и не появится, а скрытые файлы увидятся:

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
"SuperHidden"=dword:00000001
"ShowSuperHidden"=dword:00000001

(скопировать все что в рамочке в текстовый файл и сохранить его с расширением .reg, потом по нему двойной щелчок. Сможете?)

[Tasha9]

попробую

[Tasha9]

по скрытому файлу autorun.inf в корне каждого диска. Кроме того, все время стали появляться окна создания паспорт.net и live ID

[Bratez]

по скрытому файлу autorun.inf в корне каждого диска.

Если удалить руками - появляются снова?

стали появляться окна создания паспорт.net и live ID

Уберите мессенджер из автозапуска, в его настройках либо пофиксите

O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background

[Bratez]

До сих пор "авторановые" вирусы лечились легко, а ваш прямо ну очень живучий и заковыристый Если файлы появятся после удаления, то делаем перерыв, надо поискать о нем сведения.

А логи от другого компьютера вынесите все-таки в отдельную тему чтобы не путаться, там кстати зоопарк еще тот