x.com

[Sky_Tech]

На всех дисках в корне находиться этот файл. При удалении он появляется снова через пару секунд.

[akok]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('zxsderfbukjfyshlhdfrstdzhdfas', 4);
 StopService('zxsderfbukjfyshlhdfrstdzhdfas');
 QuarantineFile('C:\Winlirc\irex.exe','');
 QuarantineFile('K:\autorun.inf','');
 QuarantineFile('I:\autorun.inf','');
 QuarantineFile('E:\autorun.inf','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\x.com','');
 QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\PRODIGY.SYS','');
 QuarantineFile('zxsderfbukjfyshlhdfrstdzhdfas.sys','');
 QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\portpro.sys','');
 QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
 DeleteFile('C:\WINDOWS\system32\amvo0.dll');
 DeleteFile('C:\WINDOWS\system32\wincab.sys');
 DeleteFile('zxsderfbukjfyshlhdfrstdzhdfas.sys');
 DeleteFile('C:\WINDOWS\system32\amvo.exe');
 DeleteFile('C:\x.com');
 DeleteFile('D:\x.com');
 DeleteFile('E:\x.com');
 DeleteFile('I:\x.com');
 DeleteFile('K:\x.com');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('E:\autorun.inf');
 DeleteFile('I:\autorun.inf');
 DeleteFile('K:\autorun.inf');
 DeleteService('zxsderfbukjfyshlhdfrstdzhdfas');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=17665

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

	O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe

Повторите логи

[Sky_Tech]

А как вы файлы прочитали если 0 скачек? Или для хелперов оно не учитывает?

Winlirc\winlirc.exe это дистанционное управление через ик порт.
x.com у меня на всех дисках. Добавить строки в скрипт?
DeleteFile('D:\x.com');
DeleteFile('E:\x.com');
DeleteFile('I:\x.com');
DeleteFile('K:\x.com');

[akok]

Смысла нет я уже добавил в скрипт

[Sky_Tech]

Ну сначала не было

[akok]

Согласен не было, потом прочитал и поправил

[Sky_Tech]

Карантин на месте 080206_162756_virus_47aa346c1b1a1.zip

Добавлено через 2 минуты

страно но строки O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe нету в HijackThis

[akok]

Нет это хорошо...

Добавлено через 10 минут

C:\WINDOWS\system32\amvo.exe - Trojan-PSW.Win32.OnLineGames.qso
C:\x.com - Trojan-PSW.Win32.OnLineGames.qso
C:\WINDOWS\system32\amvo.exe - Trojan-PSW.Win32.OnLineGames.qso
C:\WINDOWS\system32\amvo0.dll - Trojan-PSW.Win32.OnLineGames.qso

Если есть он-лайн игры меняйте пароли

[Sky_Tech]

что мне делать теперь удалить все в карантине?
в игры неиграю темболее онлайн.

[Bratez]

Сделайте новые логи, посмотрим, не осталось ли чего.

[Sky_Tech]

Новые логи

[Bratez]

Логи чистые.