Определенно что-то не так :(

[asdas911]

Здравствуйте,
сначала появился малый исходящий трафик,
потом стало появляться окно с обратным таймером 60 сек, после комп выключается.
drweb не запускается, показывает отшибку в какой то форме.
avz запустился с 3-го раза.
помогите плиз.

[Bratez]

Отключите восстановление системы!
Выполните скрипт в AVZ:

begin
 BC_QrSvc('runtime');
 BC_QrSvc('runtime2');
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки в AVZ установите драйвер AVZPM, еще раз перезагрузитесь и сделайте новые логи + дополнительный лог в безопасном режиме:
http://virusinfo.info/showthread.php?t=10387

[asdas911]

Вот что получилось

[Bratez]

Пофиксите в HijackThis:

O2 - BHO: (no name) - {8D5849A2-93F3-429D-FF34-260A2068897C} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O22 - SharedTaskScheduler: Fdjskie8 jf8e - {8D5849A2-93F3-429D-FF34-260A2068897C} - (no file)

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Inst.exe','');
 QuarantineFile('C:\WINDOWS\System32\RDPSSW32.EXE','');
 QuarantineFile('c:\windows\system32\mssrv32.exe','');
 QuarantineFile('C:\WINDOWS\system32\lich.exe','');
BC_ImportQuarantineList;
BC_DeleteSvc('lich');
BC_DeleteSvc('msupdate');
BC_DeleteSvc('RDPSSW32');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки пришлите карантин по правилам, если будет не пустой.

Добавлено через 2 минуты

И это сразу посмотрите:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК

Что нужно - скажите, остальное отключим.

[asdas911]

В карантин ничего не попало.
Из служб ничего не нужно, только не понял что такое "служба SSDPSRV"

[Bratez]

Пофиксите эту строчку:

O4 - HKLM\..\Run: [Inst] C:\WINDOWS\System32\Inst.exe install

не понял что такое "служба SSDPSRV"

А это даже среди компьютерщиков мало кто понимает Отключить и забыть.

Вот скрипт для отключения ненужного:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fDenyTSConnections', 1);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('Alerter', 4);
SetServiceStart('Messenger', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

И сделайте последний раз комплект логов для контроля.

[asdas911]

Вроде все теперь нормально.
Огромное спасибо за помощь.

[V_Bond]

в логах чисто ...

[Muzzle]

Советую работать за компьютером под пользователем с ограниченными правами.
По возможности не пользоваться Internet Explorer,а использовать альтернативные браузеры,например Firefox,Opera(с отключёнными java скриптами,разрешать их выполнение только для доверенных сайтов)
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!