Вирусы syitm.exe и aadriver32.exe

[Tryri]

Доброго времени суток. Обнаружил на компьютере вирусы syitm.exe и aadriver32.exe. Syitm.exe при каждой загрузке системы открывает папку Мои документы и вылезает отчет от ошибке файла Syitm.exe. Вирус aadriver32.exe висит в процессах и создает кучу трешовых файлов типа 14.exe, 38.exe. Компьютер дико тормозит, блокируется доступ к интернету. Так как компьютер очень древний, антивируса на нем нет, периодически чищу AVZ и DrWeb CureIt, но в данном случае они не помогли, файлы удаляют, но при перезагрузке компьютера они появляются снова. Очень прошу помощи.

[Info_bot]

Уважаемый(ая) Tryri, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 QuarantineFile('C:\Documents and Settings\User\cbzvl.exe','');
 QuarantineFile('c:\windows\aadrive32.exe','');
 DeleteFile('c:\windows\aadrive32.exe');
 DeleteFile('C:\Documents and Settings\User\Application Data\Hqxuxb.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Hqxuxb');
 DeleteFile('C:\Documents and Settings\User\cbzvl.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
 DeleteFile('C:\WINDOWS\aadrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\Documents and Settings\User\Application Data\20.tmp');
 DeleteFile('C:\Documents and Settings\User\Application Data\23.tmp');
 DeleteFile('C:\Documents and Settings\User\Application Data\25.tmp');
 DeleteFile('C:\Documents and Settings\User\Application Data\26.tmp');
 DeleteFile('C:\Documents and Settings\User\Application Data\28.tmp');
BC_ImportDeletedList;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
установите sp3 + все обновления
повторите логи

[Tryri]

Скрипт выполнил, карантин отправил, логи повторил.
SP 3 установлю в ближайшее время, пока возможности нет.

[thyrex]

SP 3 установлю в ближайшее время, пока возможности нет.

Без этого с сетевым червяком бороться бесполезно

[Tryri]

Компьютер в данное время просто не подключен к сети.

[V_Bond]

такой http://virusinfo.info/showthread.php?t=53070 лог сделайте

[Tryri]

Лог mbam

[Techno]

Удалите все найденное в MBAM.

Повторите логи АВЗ и hijackthis.

[Tryri]

Удалил, вот логи.

[Techno]

- Сделайте лог GMER.

[Tryri]

Не получается сделать лог. Компьютер либо зависает в процессе, либо перезагружается.

[Techno]

Пробуйте так:
- Запустите АВЗ -> AVZGuard -> Включить AVZGuard
- AVZGuard -> Запустить приложение как доверенное -> запустите так GMER и попробуйте сделать лог
- По окончании проверки -> AVZGuard -> отключить AVZGuard

[Tryri]

Все равно зависает. Пробовал под администратором и под юзером. Даже в безопасном режиме. Ничего не помогает.
При самом первом запуске нашел подозрение на руткит в svchost.exe. Чаще всего зависает на \Device\Ide\IdePort0.

[thyrex]

Сделайте лог ComboFix

[Tryri]

ComboFix сканирует уже 5 часов. Курсор в DOS окне моргает, после запуска ничего не нажимал на клавиатуре и мышке. Кроме начальной надписи в окне больше ничего не появляется. Это нормально?

[thyrex]

Попробуйте сделать лог ComboFix в безопасном режиме

[Tryri]

Ничего не помогает.

[Techno]

Выполните в АВЗ:

Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer; 
KeyList : TStringList;
KeyName : string;                           
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
 begin
 KeyName := AName+'\'+KeyList[i];
 RegKeyResetSecurity(ARoot, KeyName);
 RegKeyResetSecurityEx(ARoot, KeyName);
 end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
 i : integer;
 KeyList : TStringList;
 KeyName : string;                           
begin
 Result := 0;
 if StopService(AServiceName) then Result := Result or 1;
 if DeleteService(AServiceName,  not(AIsSvcHosted)) then Result := Result or 2;
 KeyList := TStringList.Create;
 RegKeyEnumKey('HKLM','SYSTEM', KeyList);
 for i := 0 to KeyList.Count-1 do
  if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
   KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;                                     
   if RegKeyExistsEx('HKLM', KeyName) then begin
    Result := Result or 4;                  
    RegKeyResetSecurityEx('HKLM', KeyName);
    RegKeyDel('HKLM', KeyName);
    if RegKeyExistsEx('HKLM', KeyName) then               
     Result := Result or 8;                  
   end;
  end;                 
 if AIsSvcHosted then
  BC_DeleteSvcReg(AServiceName)
 else
  BC_DeleteSvc(AServiceName);
 KeyList.Free;
end;
begin
BC_ServiceKill('qjaeyjsuj'); {если служба базируется на svchost.exe и файл удалять нельзя}
end.

Повторите логи АВЗ и HijackThis.

[Tryri]

Прошу закрыть тему. В связи с древностью компьютера было решено его списать и приобрести новый. Спасибо за оказанную помощь.