Лечение вирусов 2

[Ven]

Во время выполнения пункта 8 правил комп уходит в BSOD. Если надо - могу сказать какая именно ошибка. NOD 3-й отключен...
Так не хочется убивать нода...вдруг все чисто окажется

[rubin]

а в safe mode?

[Ven]

В безопасном сделал этот пункт, остальное в обычном уже.
Логи.

[rubin]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\mms32ccccc.dll','');
 QuarantineFile('c:\windows\system32\mssrv32.exe','');
 QuarantineFile('c:\windows\system32\drivers\Cprk72.sys','');   
 QuarantineFile('C:\DOCUME~1\comp\LOCALS~1\Temp\winlogon.exe','');  
 DeleteFile('c:\windows\system32\drivers\Cprk72.sys');
 DeleteFile('c:\windows\system32\mssrv32.exe');   
 DeleteFile('C:\DOCUME~1\comp\LOCALS~1\Temp\winlogon.exe');  
 BC_ImportAll;
 BC_DeleteSvc('msupdate');
 BC_DeleteSvc('Cprk72');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=18999

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O4 - HKCU\..\Run: [Firewall auto setup] C:\DOCUME~1\comp\LOCALS~1\Temp\winlogon.exe

И о плохом:
C:\Documents and Settings\comp\24756.exe >>>>> Trojan-PSW.Win32.LdPinch.cds успешно удален
Файл успешно помещен в карантин (C:\Documents and Settings\comp\42727.exe)
C:\Documents and Settings\comp\42727.exe >>>>> Trojan-PSW.Win32.LdPinch.cds успешно удален
Файл успешно помещен в карантин (C:\Documents and Settings\comp\45877.exe)
C:\Documents and Settings\comp\45877.exe >>>>> Trojan-PSW.Win32.LdPinch.cds успешно удален
Файл успешно помещен в карантин (C:\Documents and Settings\comp\97832.exe)
C:\Documents and Settings\comp\97832.exe >>>>> Trojan-PSW.Win32.LdPinch.cds успешно удален

По окончании лечения надо будет сменить пароли

[Ven]

В обычном режиме не получилось выполнить скрипт. Пробую в безопасном.

Добавлено через 12 минут

Скрипт выполнил в безопасном. Корректный ребут в обычный режим.
Пофиксил хиджаком.
Карантин прислал.

[rubin]

Trojan-Spy.Win32.Goldun.wx C:\WINDOWS\system32\mms32ccccc.dll
Rootkit.Win32.Agent.px c:\windows\system32\drivers\Cprk72.sys
Trojan-Downloader.Win32.Small.fyn C:\WINDOWS\system32\mssrv32.exe

Пофиксьте:

O20 - AppInit_DLLs: C:\WINDOWS\system32\mms32ccccc.dll

Выполните:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\mms32ccccc.dll');  
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Повторите логи

[Ven]

Вот

[rubin]

Чисто... не забудьте поменять пароли

[Ven]

Спасибо!
А о каких именно паролях идет речь?

[Alex_Goodwin]

Почта, ICQ, электронные деньги.. менейте все что можно. Хуже не будет.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\drivers\\cprk72.sys - Rootkit.Win32.Agent.px (DrWEB: Trojan.Sentinel)
  2. c:\\windows\\system32\\mms32ccccc.dll - Trojan-Spy.Win32.Goldun.wx (DrWEB: Trojan.PWS.GoldSpy)
  3. c:\\windows\\system32\\mssrv32.exe - Trojan.Win32.Buzus.fit (DrWEB: Trojan.MulDrop.8347)