Проблема с флеш-вирусами

[Zhezhe]

Помогите проверить не осталась ли у меня подобная дрянь. Все внешние присоединяемые флеш-драйвы, перестали нормально открываться при клике на них, предлагается выбрать программу для запуска, открыть можно только из контекстного меню принудительно.
Логи с компа прилагаю. Может в них еще что-то найдете. DrWeb CureIT выдавал вирусы Tool.ASEye.2 и Program.PrcView.3741. Я их удалил, но не факт, что до конца. Что это может быть?
Заранее благодарю за помощь!

[kps]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\GPRS Explorer\gprsexpl.exe','');
 QuarantineFile('C:\WINDOWS\RavMon.exe','');
 QuarantineFile('Abp4rpss.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Abp4rpss.sys','');
 DeleteFile('C:\WINDOWS\RavMon.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=22690 ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Сделайте новые логи.

[Zhezhe]

Все выполнил. Карантин загрузил, логи прилагаю.
У меня есть еще вопрос:
А что делать с флешками? Их втыкать и проверять на вылеченом компе как-то стремно. Или после отключения автозапуска это уже безопасно?

[kps]

Логи чистые. Вы автозапуск отключили. Подключите флешки и сделайте лог по пункту 8 правил с подключенными флешками.

[Zhezhe]

Спасибо, сейчас так и сделаю.
А что ж все-таки был за зверь-то у меня в карантине?

[kps]

В карантин почти ничего не попало, кроме одного чистого файла.

[Zhezhe]

а что за чудо этот RavMon.exe? Вообще что у меня было то изначально?

[Zhezhe]

Спасибо еще раз за помощь!
Вот лог по пункту 8 с подключенными флешками от AVZ и на всякий случай еще раз от hijackthis... нашлась целая куча флеш-троянов.
Virus.Win32.Perlovga.a
Trojan-Dropper.Win32.Small.apl
Worm.Win32.RJump.a
Worm.Win32.RJump.a



Я открыл каталог флешки и в файлах автозапуска нашел ссылки на запуск этого RavMon.exе + в корневом каталоге какую-то подозрительную dll: msvcr71.dll
может имеет смысл просто прибить оба файла руками?

[kps]

Выполните скрипт в AVZ при подключенных флешках:

begin
SetAVZGuardStatus(True);
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('J:\autorun.inf','');
 DeleteFile('J:\autorun.inf');
 DeleteFile('F:\autorun.inf');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин.
Сделайте новый лог по пункту 8.

Какой программой обнаружили указанные вирусы на флешках ? Их уже удалили ?

msvcr71.dll - пришлите нам в архиве с паролем virus сюда http://virusinfo.info/upload_virus.php?tid=22690
ravmon.exe - уже удален, в логе его нет.

[Zhezhe]

AVZ в момент тестирования по пункту 8 выдал их с пометкой удаления.
дальше через проводник я открыл флешки и нашел там эту dll и autorun.inf, открыв последний на чтение обнаружил строки запуска этого самого RovMon.exe.
Сейчас проделую то, что Вы посоветовали и выложу логи.
Спасибо!

[Zhezhe]

Проделал все процедуры, выкладываю логи по 8 пункту и карантин.

[kps]

Логи теперь чистые.
Файл из карантина msvcr71.dll - по ВирусТотал чистый.
Какие-то проблемы остались ?

[Zhezhe]

Нет с этим компом и флешками вроде бы все... еще раз прошелся NOD32 - ругается только на карантин AVZ. Вытер карантин и удалил на всякий пожарный эту dll. выяснил на зараженном компе - она появляется на флешке вместе с RavMon.exe - следовательно вирусный придаток. Сейчас создам другую тему по второму компу и выложу логи туда после предварительной самостоятельной зачистки.
Большое спасибо за консультации и помощь.

[kps]

Последнее замечание по поводу этого компьютера. У Вас есть bonjour.
Можете почитать про него здесь:
http://forum.rudtp.ru/showthread.php?t=29833
Его лучше удалить.

[Zhezhe]

Ага... спасибо, я уже знаю о нем. Можно просто остановить невычищая. Фотошоп у меня стоит лицензионный, так что мне не страшен серый волк.
Но все равно благодарю за помощь и оперативность в поиске и обезвреживании заразы.

Добавлено через 2 часа 41 минуту

Кстати еще раз по поводу этой DLL - msvcr71.dll, осуществил поиск по компу в целом на этот файл, нашел 15 вхождений этого файла в различные папки, в том числе и в ряде системных. Так все-таки это часть мертвого вируса и его можно безболезненно прибить или лучше не трогать? Не помню каков его размер был в карантине - но все 15 вхождений выдают файл размером 340кб но при этом с разным временем изменения, отличающимся годами.

[kps]

Ответ от вирусных аналитиков таков - msvcr71.dll чистый.
msvcr71.dll - это Microsoft Visual C Runtime library.

[Zhezhe]

Хорошо, спасибо! Тогда трогать не буду в папках на компе его.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 16
• В ходе лечения вредоносные программы в карантинах не обнаружены