Антивирус нашел вирус!

[Theteny]

Я уже встречал здесь описания подобных проблем. Фиксируется вирус типа Trojan.Win32.Agent.asu. И, похоже, что не только он.
Выполнил, указанные в Правилах, процедуры. Высылаю логи.
Помогите, пожалуйста!

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('Schedule', 4);
 DelBHO('{53707962-6f74-2d53-2644-206d7942484f}');
 QuarantineFile('C:\WINDOWS\System32\dl4.dll','');
 QuarantineFile('C:\WINDOWS\userinit.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Oreans.sys','');
 QuarantineFile('C:\WINDOWS\System32\svshost.dll','');
 QuarantineFile('d:\users\eip\temp\winlogon.exe','');
 DeleteFile('d:\users\eip\temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\System32\svshost.dll');
 DeleteFile('C:\WINDOWS\userinit.exe');
 DeleteFile('C:\WINDOWS\System32\dl4.dll');
 BC_ImportALL;
 BC_DeleteSvc('protect');
 BC_DeleteSvc('FCI');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

"Пофиксите" в HijackThis

O16 - DPF: v3cab - http://searchmiracle.com/cab/v3cab.cab
O20 - Winlogon Notify: asusrx20 - asusrx20.dll (file missing)
O20 - Winlogon Notify: f3dsl - lsd_f3.dll (file missing)
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\System32\svshost.dll

Загрузите карантин согласно приложению №3 правил.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.

[Theteny]

Выполнил.
В списке HijackThis код
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\System32\svshost.dll
отсутствовал. Остальные предложенные профиксил.
Высылаю логи.

[PavelA]

Сервис Пак 2 пора ставить, если винда лицензионная.
Иначе частым гостем будете в этом разделе.

[Theteny]

О, да!

Скажите, пожалуйста, чем же все закончилось в данный момент?

[Bratez]

1. Задание в Планировщике "Копирование L0" - ваше?
Если нет, удалите его + поищите файл move.exe и пришлите по правилам.

2. Удалите папку:
C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\Infected
да и вообще эту устаревшую версию антивируса. Поставьте 7.0.

3. Рекомендуется отключить все что вам не нужно из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Alerter (Alerter)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК

[Theteny]

1. Задание в Планировщике удалено. Это было наше задание.
2. Понятно.
3. Службы частично отключил. Анонимного пользователя тоже.

Антивирус Касперского как будто больше ничего не фиксирует. Что-нибудь еще нужно сделать?

PS Восстановление системы включить можно?

[Muzzle]

Восстановление системы можете включить.
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать электронную книгу)"Безопасный Интернет. Универсальная защита для Windows ME - Vista".


Удачи!

[Theteny]

Всем спасибо за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\kaspersky lab\\kaspersky anti-virus personal pro\\infected\\wininet.exe - Backdoor.Win32.Small.cup (DrWEB: BackDoor.Kiddy)
  2. c:\\windows\\system32\\svshost.dll - Backdoor.Win32.Small.cvg (DrWEB: BackDoor.Kiddy)
  3. d:\\users\\eip\\temp\\winlogon.exe - Trojan.Win32.Agent.fdn (DrWEB: Trojan.Packed.573)