ntos.exe, audio.dll, video.dll

[Veryovka]

Обращаюсь с подачи нашего админа, который в отъезде. Подхватилась эта болезнь на рабочий компьютер, минуя NOD32, как уже писали здесь (поиском нашла подобное), но описанные методы борьбы не помогли. Прошу помощи персональной.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\system32\wsnpoem\video.dll','');
 QuarantineFile('C:\WINNT\system32\ntos.exe','');
 QuarantineFile('c:\huadio.tmp','');
 DeleteFile('c:\huadio.tmp');
 DeleteFile('C:\WINNT\system32\ntos.exe');
DeleteFile('C:\WINNT\system32\wsnpoem\video.dll');
BC_ImportALL;
BC_QrSvc('Wanacsnqraai');
BC_DeleteSvc('Wanacsnqraai');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=17478).
Сделайте новые логи.

[Veryovka]

Карантин закачала. Логи новые прилагаю.

[V_Bond]

выполните скрипт ...

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\PROGRA~1\ARTSGR~1.RU\toolbar.dll','');     
 DeleteFile('C:\WINNT\system32\upd1177322939.exe');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

[Veryovka]

Закачала. Но это, я так понимаю, что нужный файл - у нас тут ставится такая панелька в Интернет Эксплорере, кнопки которой вызывают сайт веб-отчета по работе магазина.

[V_Bond]

если так , то вопросы по нему снимаются ...
повторите лог virusinfo_syscheck.zip

[Veryovka]

Извольте :-)

[V_Bond]

в логе ничего зловредного ....
что из этого используете ... ?

>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[Veryovka]

Ну, вот и здорово :-)

Насчет "используете", тут моих знаний не хватает уже - по хорошей инструкции я могу сделать, все как надо, а здесь - неее... Приедет админ наш послезавтра - пусть дальше уже сам, главное, что вирус обезврежен. Спасибо еще раз

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\winnt\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.afe (DrWEB: Trojan.Proxy.1824)