помогите удалить вирусы zaberg.exe и csdrive32.exe

[icebale26]

В диспетчере задач присутствуют процессы: csdrive32.exe и zaberg.exe.

[Info_bot]

Уважаемый(ая) icebale26, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[icebale26]

Прошу прощение, не тот файл добавил в первом посту.
Сейчас добавил нужный: virusinfo_syscheck.zip

[Nikkollo]

Пофиксите в HijackThis (как пофиксить):

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:3129;https=127.0.0.1:3129
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1;<local>;*.local;127.0.0.1:9421;

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('Dhsssv.exe');
 TerminateProcessByName('c:\windows\csdrive32.exe');
 ClearQuarantine;
 QuarantineFile('ROMwln.dll','');
 QuarantineFile('C:\WINDOWS\system32\81.exe','');
 QuarantineFile('C:\WINDOWS\system32\43.exe','');
 QuarantineFile('C:\WINDOWS\system32\21.exe','');
 QuarantineFile('C:\WINDOWS\system32\14.exe','');
 QuarantineFile('C:\WINDOWS\system32\13.exe','');
 QuarantineFile('C:\WINDOWS\csdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Dhsssv.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\atapi.sys','');
 QuarantineFile('c:\windows\csdrive32.exe','');
 DeleteFile('c:\windows\csdrive32.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Dhsssv.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Dhsssv');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','zaber0');
 DeleteFile('C:\WINDOWS\csdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\13.exe');
 DeleteFile('C:\WINDOWS\system32\14.exe');
 DeleteFile('C:\WINDOWS\system32\21.exe');
 DeleteFile('C:\WINDOWS\system32\43.exe');
 DeleteFile('C:\WINDOWS\system32\81.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Установите все обновления безопасности, вышедшие после Service Pack 3:
http://windowsupdate.microsoft.com/
Обновите Internet Explorer до актуальной версии (даже если не используете):
http://windows.microsoft.com/ru-RU/i...r/downloads/ie

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела Диагностика правил) и приложите в теме.

[icebale26]

Помогло, проблема ликвидирована!
Большое спасибо за оперативность!
Отправляю повторно логи.
Единственный момент в карантин возможно попало не все, т.к. drweb, который висит монитором решил вдруг "проснуться" и найти в переносимых на карантин файлах вирусы.

Ещё раз огромное спасибо!

[Nikkollo]

C:\WINDOWS\system32\ROMwln.dll - not-a-virus:RemoteAdmin.Win32.ROM.n
Copyright © 2004-2010 Aledensoft. All rights reserved. 4.1.2.0
(Remote Office Manager)
Это сами устанавливали?

Рекомендую установить обновления и на всякий случай сменить пароли.

[icebale26]

C:\WINDOWS\system32\ROMwln.dll - not-a-virus:RemoteAdmin.Win32.ROM.n
Copyright © 2004-2010 Aledensoft. All rights reserved. 4.1.2.0
(Remote Office Manager)
Это сами устанавливали?

Рекомендую установить обновления и на всякий случай сменить пароли.

ROMwln.dll - это Light Manager - бесплатный аналог Radmin. Да, его ставил сам когда-то.
Спасибо за рекомендации! Учту!

[Techno]

Что с проблемой?

[icebale26]

Что с проблемой?

Да, спасибо, проблема решена. Я писал это в посте от 21.06.2012, 09:06.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\csdrive32.exe - HEUR:Trojan.Win32.Generic ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Gen:Variant.Zbot.74 )
  2. c:\\windows\\system32\\romwln.dll - not-a-virus:RemoteAdmin.Win32.ROM.n ( DrWEB: Program.ARemote.203 )