Они заполонили всю планету! (с)

[yevgeny]

доброго времени суток, помогите избавиться от вредителей, пожалуйста.
и если это возможно, скажите, это я сам где-то нахапал такой букет вирусов в инете, или меня кто-то целенаправленно ломает (с сетки, например.) просто проблема с вирусами для меня в последние полгода черезчур актульна, при всём моём старании не "заплывать" на подозрительные сайты ))
заранее спасибо.

[V_Bond]

Platform: Windows XP SP1 (WinNT 5.01.2600) - вот с этим у вас постоянно будут проблемы с вирусами ....
нужно срочно обновлятся до SP2 , но ваш крек не сработает...
выполните скрипт...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Documents and Settings\HooverCraft\mspool.exe','');
 QuarantineFile('C:\Documents and Settings\HooverCraft\spool.exe','');
 QuarantineFile('C:\WINDOWS\all.exe','');
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('Ybr26.sys','');
 QuarantineFile('\SystemRoot\System32\DRIVERS\tcpip.sys','');
 QuarantineFile('\SystemRoot\SYSTEM32\spooldr.sys','');
 QuarantineFile('c:\windows\spooldr.exe','');
 DeleteFile('c:\windows\spooldr.exe');
 DeleteFile('\SystemRoot\SYSTEM32\spooldr.sys');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 DeleteFile('C:\WINDOWS\System32\svchost.exe:ext.exe');
 BC_ImportAll;
 BC_QrSvc('Ybr26');
 BC_DeleteSvc('FCI');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...

[yevgeny]

спасибо за оперативный ответ.
но вот какая проблема: после запуска вашего скрипта, сначала видно, что AVZ выполняет какие-то заданные этим скриптом операции, но потом без всяких предупреждения винда резко срывается на рестарт. пробовал 2 раза в обычном режиме + 1 раз в безопасном. что делать?
в архиве карантина все файлы, что там есть.

[V_Bond]

что идет ребут это нормально .... так прописано в скрипте .... карантин загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=13086 ... из темы его убрать ...

[yevgeny]

сделал всё, как вы сказали!

[V_Bond]

C:\Documents and Settings\HooverCraft\mspool.exe Trojan-Downloader.Win32.Agent.dxb
C:\Documents and Settings\HooverCraft\spool.exe Backdoor.Win32.Small.cko
c:\windows\spooldr.exe Email-Worm32.Zhelatin.ki
C:\WINDOWS\System32\DRIVERS\tcpip.sys Trojan.Win32.Patched.ao
C:\WINDOWS\SYSTEM32\spooldr.sys Email-Worm32.Zhelatin.ki
C:\WINDOWS\all.exe DLOADER.Trojan
C:\WINDOWS\Temp\startdrv.exe Trojan.MulDrop.9300
выполните скрипт...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\Documents and Settings\HooverCraft\mspool.exe');
 DeleteFile('C:\Documents and Settings\HooverCraft\spool.exe');
 DeleteFile('C:\WINDOWS\all.exe');
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

tcpip.sys -патченый ,необходимо заменить на чистый .... замену производить в SAFE MODE ....
повторите логи ...

[yevgeny]

извините, а что это за файл tcpip.sys и как я его могу поменять? где взять чистый файл?
(последний скрипт ещё не выполнял)

[V_Bond]

tcpip.sys - можно вылечить касперским ... или взять из дистрибутива...

[yevgeny]

подскажите, а что делать, если не знаешь, где на дистрибутиве находится этот файл? поиски не помогли самое интересное, в моменте установки касперского (специально для удаления этого файла), винда опять же срывается в ресет где то на середине установки...

[V_Bond]

берите этот ...

[yevgeny]

спасибо, взял, вроде замена файла прошла без проблем.
вот новые логи.

[V_Bond]

выполните скрипт ...

begin
 SearchRootkit(false, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Ybr26','Start');
 RebootWindows(true); 
end.

после перезагрузки еще один ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\Ybr26.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\Ybr26.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...
повторите логи...

[yevgeny]

выполнил последние 2 скрипта, после их выполнения заархивировал все файлы карантина, что были. но после этого сделать логи для "скрита лечения и сбора информации для..." не позволяет - вскоре после старта винда самостоятельно перезагружается. всё, чем удалось разжиться, это лог из hijackthis.
карантин закачал по ссылке http://virusinfo.info/upload_virus.php?tid=13086

[V_Bond]

сделайте лог http://virusinfo.info/showthread.php?t=10387 ...

[yevgeny]

сделал.
пытаюсь сделать аттачмент (с тем самым логом) - пишеь что avz_sysinfo.xml / avz_sysinfo.html - некорректный файл. что делать дальше? пока выложил их оба в одном архиве, иначе не получалось.

[V_Bond]

Запускайте из командной строки: Пуск - Выполнить - sfc/scannow
Утилите требуется инсталляционный диск с операционной системой он должен быть в CD -ROM ...
зловредов в логе не видно ...

[yevgeny]

пишет, что винде не удалось найти "sfc/scannow"... проверьте, что имя было введено правильно и т.д...
если вводить "sfc / scannow", то выскакивает какое-то окно, которое моментально исчезает.
что я делаю не так?
диск с виндой в сд-роме..

[V_Bond]

нужно так ... sfc /scannow ... ссори торопился когда писал...

[yevgeny]

процесс дошёл до определенного момента, когда система говорит, что-то типа "файлы были найден и должны быть скопированы в кэш .dll" просит вставить диск ХР про - он и был в сиди роме с самого начала, но система начинает ругаться, что дисск не тот и "хотите ли вы пропустить файл?" после бесчётного количества пришлось отменить эту операцию.
есть ли у вас ещё какие-нибудь предложения?

[V_Bond]

значит диск действительно не тот ... или тот, но сильно очень пиратский ...