Каждаы раз при проверке одни и те же записи.

[stepka]

Каждый раз при лечении появляется две строки:
Функция NtEnumerateKey (47) - модификация машинного кода. Метод JmpTo. jmp F73532FCYuqr61.sys
Функция NtOpenKey (77) - модификация машинного кода. Метод JmpTo. jmp F7353068Yuqr61.sys
После лечение, при проверке, они все-равно остаются.

+ Через каждые минут десять появляется сообщение о копировании каких-то файлов и рекомендации установить какой-то "Spy..."

Заранее благодарен за помощь.

[Bratez]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 QuarantineFile('C:\WINDOWS\murka.dat','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ctl_w32.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Beep.sys','');
 QuarantineFile('c:\windows\system32\vhosts.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Yuqr61.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\Yuqr61.sys');
 DeleteFile('c:\windows\system32\vhosts.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\Beep.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
 DeleteFile('C:\WINDOWS\murka.dat');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Пофиксите в HijackThis:

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O20 - AppInit_DLLs: murka.dat
O20 - Winlogon Notify: botreg - C:\WINDOWS\

Сделайте новые логи.

[drongo]

C:\WINDOWS\system32\DRIVERS\tcpip.sys не прошёл по базе безопасных , тоже скопировать и прислать как полагается

[Bratez]

P.S. Если карантин будет большой (>1Mb) выберите только файлы,упомянутые в скрипте.

[PavelA]

@Bratez
Yuqr61.sys - его надо бы на потом оставить, сначала с остальными друзьями разобраться.

[stepka]

При попытке выполнения скрипта в обычном режиме появился синий экран и пошла перезагрузка. В безопасном режиме выполнилось.

Загрузил карантин. Сейчас загружу tcpip.sys.

Новые логи:

[stepka]

Загрузил.

[Bratez]

Yuqr61.sys - Rootkit.Win32.Agent.sc
"Обезврежен он и даже
Он острижен и посажен..."

Выполните такой скрипт:

begin
ClearQuarantine;
 BC_QrSvc('Beep');
 BC_DeleteSvc('Beep');
BC_Activate;
RebootWindows(true);
end.

и пришлите новый карантин.

[stepka]

Загрузил новый карантин. Там только подозрительные файлы от принтера.
Сасибо огромное.
Меня охранники из офиса выгоняют. если я что-то не доделал, напишите, я завтра сделаю.
Еще раз спасибо. Особенно за очень быструю реакцию.
Низкий поклон.

[Bratez]

Лечение окончено.
Можно еще пофиксить в HijackThis:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

и отключить все что вам не нужно из этого списка:

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\yuqr61.sys - Rootkit.Win32.Agent.sc (DrWEB: Trojan.NtRootKit.660)