Заразился Win32.Bagle, кажется поборол. Прошу проверить логи.

[Stell]

Здравствуйте. Вчера заразился Win32.Bagle. Симптомы: были повреждены и отключены антивирус и файрвол, была заблокирована загрузка в безопасном режиме, не запускались AVZ, Cureit, HiJackThis, тормозила ОС. В %winroot%\system32 лежали wintems.exe, srosa.sys, mdelk.exe. С помощью рекомендаций и информации из соседних тем с похожими вопросами кажется удалось вылечить машину. По крайней мере работоспособность антивируса/файрвола восстановилась, система была просканирована AVZ, Cureit и НОДом и они ничего существенного не обнаружили. Тем не менее есть некоторые сомнения, что проблема была решена полностью. В частности тревожит длинный список каких-то замаскированных процессов, которые находит AVZ. Создал в соответсвеии с Правилами логи - прошу по возможности просмотреть их.

[Bratez]

Лог syscure (п.8 правил) все-таки нужен.

Поищите через AVZ эти файлы:
msfir80.exe
msime80.exe
Если найдутся - пришлите по правилам.

[Stell]

Приложил лог syscure. Файлы msime80.exe и msfir80.exe AVZ не нашла.

[V_Bond]

выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-1060284298-1715567821-725345543-1003\Dg2.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1060284298-1715567821-725345543-1003\Dg1.sys','');
 QuarantineFile('C:\WINDOWS\system32\vsjitdebugger.exe -p %ld -e %ld','');
BC_Importall;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

[Stell]

Выполнил, отправил. Помоему AVZ не смог добавить vsjitdebugger.exe в карантин.

[V_Bond]

карантина нет ....

[Stell]

Закачал еще раз. Возможно в первый раз возникла какая-то проблема в браузере. Не стал качать еще раз сразу ибо в правилах писали несколько раз подряд не закачивать.

[V_Bond]

C:\RECYCLER\S-1-5-21-1060284298-1715567821-725345543-1003\Dg1.sys -Trojan-Downloader.Win32.Bagle.iw
C:\RECYCLER\S-1-5-21-1060284298-1715567821-725345543-1003\Dg2.exe Trojan-Downloader.Win32.Bagle.if
выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\RECYCLER\S-1-5-21-1060284298-1715567821-725345543-1003\Dg1.sys');
 DeleteFile('C:\RECYCLER\S-1-5-21-1060284298-1715567821-725345543-1003\Dg2.exe');
 DeleteFile('C:\WINDOWS\system32\vsjitdebugger.exe');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи ....

[Bratez]

повторите логи ....

... предварительно пофиксив в HijackThis:

O4 - HKLM\..\Run: [IMJPMIG8.2] msime80.exe
O4 - HKCU\..\Run: [MsServer] msfir80.exe

[Stell]

Благодарю за поддержку! Все сделал, пересканировал.

[V_Bond]

tscupgrd.exe попробуйте поискать через авз ... и прислать по правилам ...

[Stell]

tscupgrd.exe нашел, отправил.

[V_Bond]

файл прошел по базе безопасных ...
какие-то проблемы остались ?

[Stell]

Похоже, сейчас машина работает стабильно. Огромное спасибо вам за поддержку!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\recycler\\s-1-5-21-1060284298-1715567821-725345543-1003\\dg1.sys - Trojan-Downloader.Win32.Bagle.iw (DrWEB: Win32.HLLM.Beagle)
  2. c:\\recycler\\s-1-5-21-1060284298-1715567821-725345543-1003\\dg2.exe - Trojan-Downloader.Win32.Bagle.jf (DrWEB: Win32.HLLM.Beagle)