AMVO.dll антивирус не справился

[derStudent]

Вчера как обычно подключился к локальной сети, минут через 5 avast выдал сообщение о зараженных файлах и после этого при попытке открыть любой логический диск появлялось окошко "открыть с помощью...", а так же невозможно отобразить скрытые файлы. Установил на систему антивирус Касперского, дважды полностью просканировал систему, было найдено и удалено порядка 230 файлов, теперь диски открываются, но вот скрытые файлы просмотреть так и не получилось. Прошу оказать мне помощь в решении данной проблемы

П.С. На другом логическом диске установлена система Windows Vista, в ней проблем нет, файлы открываются нормально

[Макcим]

Обновите базы AVZ.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

[derStudent]

Сделал все как написано, компьютер перезагрузил, проверил еще раз ошибок нет, но скрытые файлы все-равно не показываются

[Макcим]

Выполните скрипт в AVZ

begin
 ExecuteRepair(6);
 ExecuteRepair(8);
 RebootWindows(true);
end.

[derStudent]

не помогло, при перезапуске системы Касперский снова сообщил, что есть зараженный файл AMVO.dll, может быть по-новой провести сканирование системы и прикрепить логи?

[Макcим]

Повторные логи в студию. Советуем отключить автозапуск (не путать с автозагрузкой!!!) на всех дисках во избежании повторного заражения.

[PavelA]

Диск "D" - флешка? Если да, то надо сохранить AVZ & HJT на диск "С", а затем повторить операцию лечения.

[derStudent]

D-это логический диск. пробовал до этого отправлять файлы через другой компьютер, выяснилось, что он тоже не открывает скрытые файлы. Вот тут новые логи моего ноута

[Bratez]

Подключите флэшку и не вынимайте до конца лечения.
Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
 QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
 QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
 DeleteFile('C:\WINDOWS\system32\amvo0.dll');
 DeleteFile('C:\WINDOWS\system32\wincab.sys');
 DeleteFile('C:\WINDOWS\system32\amvo.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('X:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.

В красной строчке замените X на букву диска для флэшки.
После перезагрузки пришлите карантин по правилам.

[derStudent]

Проблема на ноуте решилась, спасибо большое. Архив карантина зазрузил при помощи ссылки в верхней части страницы, правда не вижу загрузился он или нет. Если не сложно, я сейчас создам логи домашнего компьютера, у него те же симптомы

[Bratez]

Подождите, гляну карантин. Другой комп - в новую тему.

Добавлено через 3 минуты

Выполните скрипт, также заменяя X на нужную букву:

begin
 DeleteFile('C:\fppg1.exe');
 DeleteFile('D:\fppg1.exe');
 DeleteFile('X:\fppg1.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки сделайте новый лог syscheck для контроля.

[derStudent]

новый лог

П.С. у меня есть еще третий логический диск, на котором установлена Vista, это как-то может повлиять на лечение вируса?

[Bratez]

Все чисто. Рекомендуется отключить все что вам не нужно из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[derStudent]

я извиняюсь, но Вы не могли бы сказать как это отключить?

[Макcим]

Скажите что не нужно, напишем скрипт.

[derStudent]

Честно говоря, я слабо представляю что перечислено в этом списке, если это поможет повысить защищенность компьютера или хотя бы не будет загружать память, то я бы отключил все

[Bratez]

Вот скрипт:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

Добавлено через 33 секунды

(анонимный доступ для локалки на всякий случай оставил).

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\autorun.inf - Trojan-GameThief.Win32.OnLineGames.skg (DrWEB: Win32.HLLW.Autoruner.1413)
  2. d:\\autorun.inf - Trojan-GameThief.Win32.OnLineGames.skg (DrWEB: Win32.HLLW.Autoruner.1413)