Win32:Agent-LNK [Wrm] - обнаруживается при каждом запуске компа

[Laminat]

Антивирусник avast - при запуске компа высвечивает
Имя файла - C:\WINDOWS.0\system32\drivers\smtpdrv.sys
Имя вируса - Win32:Agent-LNK [Wrm]
Тип вируса - Вирус/Червь
Версия VPS - 080116-1, 16.01.2008

Отправка в хранилище или удаление не дают результатов - при повторном запуске вирус опять высвечивается, в ручную данный файл, найти не смогли???? - недавнее сканирование ч-з интернет (делал админ) показало "руткит" с ним ничего не делалось(((
С уважением и надеждой Ламинат.

[Bratez]

Пофиксите в HijackThis:

O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\Dima\LOCALS~1\Temp\winlogon.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS.0\winhp32.exe
O15 - Trusted Zone: www.archiviosex.net
O15 - Trusted Zone: www.contentdiscount.info
O15 - Trusted Zone: www.extremeaccess.info
O15 - Trusted Zone: *.ТЭвЩУвШНЬЦТдгвў—ЧФХЛУооф
O15 - Trusted Zone: *.ЭмжЧТТЖДЖИШжЎ—ЧФХЛУооф
O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
O16 - DPF: {33331111-1111-1111-1111-611111193429} - 
O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
O16 - DPF: {33331111-1131-1111-1111-611111193428} - 
O20 - AppInit_DLLs:

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Rwa03');
 SetServiceStart('Rwa03', 4);
 QuarantineFile('C:\WINDOWS.0\winhp32.exe','');
 QuarantineFile('C:\WINDOWS.0\system32\zuysteo.exe','');
 QuarantineFile('C:\WINDOWS.0\system32\ntos.exe','');
 QuarantineFile('C:\DOCUME~1\Dima\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('C:\fwdrv.sys','');
 QuarantineFile('C:\WINDOWS.0\System32\Drivers\Ejm04.sys','');
 QuarantineFile('C:\WINDOWS.0\system32\Drivers\Rwa03.sys','');
 DeleteFile('C:\WINDOWS.0\system32\Drivers\Rwa03.sys');
 DeleteFile('C:\WINDOWS.0\System32\Drivers\Ejm04.sys');
 DeleteFile('C:\fwdrv.sys');
 DeleteFile('C:\DOCUME~1\Dima\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS.0\system32\ntos.exe');
 DeleteFile('C:\WINDOWS.0\system32\zuysteo.exe');
 DeleteFile('C:\WINDOWS.0\winhp32.exe');
BC_ImportALL;
 BC_QrSvc('asc3550u');
 BC_DeleteSvc('smtpdrv');
 BC_DeleteSvc('Rwa03');
 BC_DeleteSvc('asc3550u');
 BC_DeleteSvc('Ejm04');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=16564).
Сделайте новые логи.

[Laminat]

указания ваши выполнил архив закачан по вашей ссылке.

[Макcим]

А логи где?

[Bratez]

Карантин пуст. Ждем новые логи.

[Laminat]

Извините, - мне сейчас последовательно выполнить "приложение 2" и "3"???

[Макcим]

Да, как в начале темы.

[Laminat]

1) Профиксил - как предлагалось, комп перезагрузился в папке с HijackThis: появилась пака с 12 файлами (с ней надо что то делать?)
2) Приложение 2 выполнить не смог в окне протокол пишется - "красным - ошибка - попытка прямого нахождения файлов - так по моему)
3) сделал приложение 3 - но как вы сказали карантин пуст(((

Сейчас сделал повторно "как в начале темы" - - "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info". -
пишет:
"Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено
Выполняется исследование системы
Исследование системы завершено"
Как понимаю нужно отправить его - но его нигде нет??(((
вы уж меня извините - делетанта((((

[Bratez]

Видимо вы не так поняли.
Сделать новые логи - значит заново выполнить п.8-13 правил и прикрепить полученные логи, как вы делали в первом сообщении.
П.8 (скрипт лечения/карантина) вы только что сделали... осталось немного

[Laminat]

Я выполнил по новой 2 скрипта но - где сохранились новые логи???
В папке avz4 только автоматически сохраненная папка LOG - с архивами которые я вам уже отправлял - что я не так делаю???

[V_Bond]

посмотрите на их дату создания ... точно старые ?

[Laminat]

Вот вроде.......

[V_Bond]

скачать ... утилиту
- отключить антивирус
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\system32\drivers\Rwa03.sys - direct file content wiping - do operation - закрыть программу..
- перезагрузится ...
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Rwa03');
 QuarantineFile('C:\WINDOWS.0\System32\Drivers\Rwa03.sys','');
 DeleteFile('C:\WINDOWS.0\System32\Drivers\Rwa03.sys');
 BC_DeleteSvc('Rwa03');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ...

[Laminat]

Уважаемый V_Bond, утилиту скачал и установил но я не понимаю что значит - " tools - wipe/copy file - browse " - в ручную такого файла (C:\WINDOWS\system32\drivers\Rwa03.sys) в папке нет....

[V_Bond]

пункты меню ... tool - wipe/copy file - browse

[Laminat]

Такого файла - Rwa03.sys - в обзоре нет....

C:\WINDOWS.0\system32\drivers\smtpdrv.sys - и этот файл найти я тоже не смог(((( - он высвечивается заражённым

[V_Bond]

C:\WINDOWS.0\System32\Drivers\Rwa03.sys - попробуйте ввести полный путь ..

[Laminat]

Я в окне имя файла указал полностью- как вы и сказали - при нажатии "произвести операцию" - маленькое окно высветило - "File content deleted" - ????

[V_Bond]

сделайте лог virusinfo_syscheck.zip

[Laminat]

Вот.