Помогите, что-то ест трафик и рассылает спам

[Prozerpina]

На домашний компьютер пробралась какая-то зараза, бешено стал поедатся трафик и пришло сообшение от провайдера, что с моего компьютера рассылается спам... NOD, Avast нашли десяток троянов, но ситуация не изменилась... При подключении к интернету svchost.exe коннектится с одними и теми же 7 разными IP по очереди (по данным Outpost). Cureit не видит проблем... Шлю логи...

[Макcим]

Выполните скрипт в AVZ

begin
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Msx40\0000', 'CSConfigFlags', '1');
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Ubh62\0000', 'CSConfigFlags', '1');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193423}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193429}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1131-1111-1111-611111193428}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{43331111-1111-1111-1111-611111195622}');
 BC_DeleteSvc('Msx40');
 BC_DeleteSvc('secdrv');
 BC_DeleteSvc('smtpdrv');
 BC_DeleteSvc('Ubh62');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Msx40.sys');
 BC_DeleteFile('C:\WINDOWS\System32\DRIVERS\secdrv.sys');
 BC_DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Ubh62.sys');
 BC_DeleteFile('C:\WINDOWS\System32\ntos.exe');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

Повторите логи. Прикрепите также boot_clr.log из папки AVZ.

[Prozerpina]

Всё сделала как просили... шлю логи...

[wise-wistful]

ОТКЛЮЧИТЕ восстановление системы.

Не все ушли.
Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
 DeleteFile('C:\WINDOWS\System32\ntos.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузите карантин согласно приложения 3 правил по ссылке http://virusinfo.info/upload_virus.php?tid=17555

Решите эти проблемы - авз Файл--Мастер поиска и устранения проблем

>> Нарушение ассоциации SCR файлов
>> Internet Explorer - разрешены автоматические запросы элементов управления ActiveX

Обновите базы АВЗ. Повторите логи.

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Знаетели не совсем актуально. необходимо установить SP2 для Windows и 7 версию Internet Explorer + все критические обновления для них, а то решето какое-то получается.

[Prozerpina]

Восстановление отключила, скрипт выполнен... шлю логи... Проблемы AVZ решило, базы AVZ обновила... Поставила новую Оперу (вместо обновления Эксплорера). Windows обновить до SP2 пока не могу (так как сама не умею ) + на компьютере много ценной информации, жалко будет если пропадёт... Карантин прислать пока не могу, дома накрылся кабельный интернет (слетел драйвер модема, а новый ставиться не хочет), по dial-up файлы не вкладываются... Я себе на флешку перекинула папку с карантином, но на работе не могу засунуть её в архив (NOD ругается, что в одном файле вирус Win32/Spy.Agent.NES троян). Что дальше делать, подскажите, плиз...

[Bratez]

Все в порядке. Пофиксите строчку:

O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab

c:\eied_s7.cab - если существует, удалите.

Добавлено через 1 минуту

Посмотрите, нужно ли вам что-либо из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Messenger)
>> Службы: разрешена потенциально опасная служба Alerter (Alerter)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Лишнее отключим.

[Prozerpina]

Профиксить получится только вечером (после работы)... Насчёт этих служб, я не сильно в них разбираюсь... Доступ к дискам, анонимного пользователя и автозапуск СD можно отключить... Насчёт остальных служб: компьютер домашний, в сеть выходил раньше по модему от кабельного телевидения Воля. Заново модем не хочет переустанавливаться... Есть подозрение, что принтер HP тоже не поставиться заново (я когда чистила программы снесла всё, что было лишнее)... Между прочим у меня в пуске-программы иногда появляется Удалённый помощник (вчера аж 5 шт. подряд...) Может с этим тоже что-то сделать?

[Prozerpina]

Карантин закачала:
Файл сохранён как 080207_152927_virus_47ab7837f10ba.zip
Размер файла 419627
MD5 1eb5343a5913bfbc9f7b834535408e2e

Принтер НР поставился нормально, а вот кабельный интернет пока никак не хочет ставиться...

Вот новые логи...

[V_Bond]

пока чисто .... но до скорой встречи .... (если не поставите все обновления )

[Prozerpina]

Спасибо
Действительно, вроде компьютер уже не так вредничает...

[Prozerpina]

Мой антивирус НОД полез обновляться в и-нет и вместе с ним снова проскочила какая-то зараза... Решили кардинально: формат всех дисков + установка нового windows... Интенет пока не подключали... Остались проблемы: на диске D не отображаются скрытые файлы и на этом же пустом диске windows показывает, что занято 60 Mb... Неужели что-то осталось от прошлых вирусов? Шлю логи...

[V_Bond]

в логах чисто ..

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.aen (DrWEB: Trojan.Proxy.2634)