drweb и касперский не помогли?

[lobzik]

Здравствуйте!
Не могу вывести вирус. Windows XP EN SP2. Все началось с перехода на бесплатный аваст с месяц назад. Была скачана последняя версия, настроена и проходило ежедневное обновление баз. Однако, в один прекрасный день после появления рабочего стола виндоуз стал "выпадать" в синий экран. Причина гласила DRIVER_IRQL_LESS_OR_EQUAL, а вот имя проблемной библиотеки было странным и каждый раз разным. Например: h.sys, xvuy.sys, 18.sys, bu.sys. Я заподозрил неладное.
Зашел в Save Mode - все окей. Запустил msconfig - выключил все немайкрософтовские службы и программы при логоне. Перезагрузился в нормальном режиме - синего экрана не было. Скачал последний CureIt и проверил все на максимальных настройках. DrWeb нашел следующее:
tio8x6.cmd; c:\;Trojan.MulDrop.6474;
tio8x6.cmd; d:\; Trojan.MulDrop.6474;
tio8x6.cmd; l:\; Trojan.MulDrop.6474;
tio8x6.cmd; m:\; Trojan.MulDrop.6474;
tio8x6.cmd; s:\; Trojan.MulDrop.6474;
tio8x6.cmd; x:\; Trojan.MulDrop.6474;
amvo.exe;C:\WINDOWS\system32;Trojan.MulDrop.6474;
amvo.exe;D:\;Trojan.MulDrop.6474;
7k7codj.dll; C:\Documents and Settings\Roman\Local Settings\Temp; Trojan.Nsanti.Packed
h.sys; C:\Documents and Settings\Roman\Local Settings\Temp; Trojan.NtRootKit.551
Вот он и нашелся мой h.sys, подумал я... В реестре в RUN был найден вызов amvo.exe, тут же удален. Больше ничего подозрительного не нашел. Далее я скачал пробную версию касперского, обновил базы и прошелся еще раз с максимальными настройками. Касперский нашел еще C:\WINDOWS\system32\amvo0.dll. Причем и его и все файлы, перемещенные вебом в карантин он определял как вирус Worm.Win32.AutoRun.bpn.
Теперь я замечаю три странных вещи:
1) При загрузке системы появляется окно Dial-up Connection, источник которого я не нашел. Process Explorer показывает, что окно пренадлежит процесу explorer.exe.
2) При проверке цифровых подписей Process Explorer не верифицирует подпись winlogon.exe, хотя все остальные стандартные процессы верифицированы. Странных процесов и потоков под винлогоном я сам не вижу.
3) Вирус сбросил настройку проводника об отображении скрытых файлов (у меня всегда отображение было включено). При попытке вернуть настройку все проходит нормально, но ничего не меняется. Когда снова идешь в настройки вида - выбрано не отображать.

Подскажите, пожалуйста, нормально ли то, что я перечислил в конце и стоит ли дальше искать заразу?

[V_Bond]

Восстановление системы: включено - отключить ...
выполните скрипт ...

begin
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(true);
end.

карантин собранный авз virusinfo_cure.zip пришлите по ссылке http://virusinfo.info/upload_virus.php?tid=16544

[lobzik]

Файл я прислал, только не знаю тот ли. Прислал готовый архив из папки с логами.

Скрипт выполнил. Отображение скрытых файлов теперь включается. Что теперь? Объясните, плз, что это было или мб еще есть? =)

[V_Bond]

антивирусы справились .... мы немного подчистили следы ....

Добавлено через 1 минуту

присланный архив пустой ...

[lobzik]

Такой файл был в папке с AVZ или надо было что-то другое прислать?

[V_Bond]

он должен был быть приблизительно там c:\avz\LOG\

[lobzik]

он там и был, сразу после первого сканирования (не после выполнения скрипта)

[V_Bond]

вот он и нужен ...

[lobzik]

Я сейчас отправил то, что было в карантине.

[V_Bond]

в присланных файлах нет ничего подозрительного ....
надеюсь проблем больше нет ...

[lobzik]

Поясните, пожалуйста, в паре предложений что поправил AVZ последним скриптом? Winlogon.exe по прежнему не верифаится процес эксплорером, и теперь к нему присоединилась пара свхостов. Это нормально?

З.Ы. Где можно почитать про эти команды более подробно?

[wise-wistful]

В справке АВЗ расписаны все эти команды. Найдите в справке Воостановление системы.

[lobzik]

Спасибо огромное за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения вредоносные программы в карантинах не обнаружены