Не знаю что....

[SteppenWolf]

Доброго времени суток!
Комп постоянно ломится в интернет... что за зараза - не знаю.. но попробовал сделать по правилам. Остается просить помощи...

[kps]

Пофиксите

R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://internetsearchservice.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://internetsearchservice.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://internetsearchservice.com/ie6.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://internetsearchservice.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://internetsearchservice.com
O4 - HKLM\..\Run: [svhost] C:\WINDOWS\System32\drivers\svchost.exe
O4 - HKLM\..\Run: [winload] C:\Windows\system\winload.exe
O4 - HKLM\..\Run: [advap32] C:\Windows\system\1011.exe/r
O20 - Winlogon Notify: winnt32 - C:\WINDOWS\SYSTEM32\WinNt32.dll

Скачайте IceSword.
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы C:\WINDOWS\system32\Drivers\Xej74.sys и C:\WINDOWS\system32\sywtdxaz.sys и если есть - сначала скопируйте их куда хотите при помощи Copy to..., чтобы прислать нам, а потом удалите их с помощью force delete (нажмите по кажому из них правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").
Затем выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system\winload.exe');
 TerminateProcessByName('c:\windows\system32\drivers\svchost.exe');
 TerminateProcessByName('c:\documents and settings\user\ie_updates3r.exe');
 QuarantineFile('C:\WINDOWS\system32\sywtdxaz.sys','');
 QuarantineFile('C:\Windows\system\1011.exe/r','');
 QuarantineFile('C:\Windows\system\1011.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Xej74.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
 QuarantineFile('c:\windows\system\winload.exe','');
 QuarantineFile('c:\windows\system32\drivers\svchost.exe','');
 QuarantineFile('c:\documents and settings\user\ie_updates3r.exe','');
 DeleteFile('c:\documents and settings\user\ie_updates3r.exe');
 DeleteFile('c:\windows\system32\drivers\svchost.exe');
 DeleteFile('c:\windows\system\winload.exe');
 DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Xej74.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\Windows\system\1011.exe/r');
 DeleteFile('C:\Windows\system\1011.exe');
 DeleteFile('C:\WINDOWS\system32\sywtdxaz.sys');
DelWinlogonNotifyByKeyName('winnt32');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Xej74');
BC_DeleteSvc('Google Online Services');
BC_DeleteSvc('tcpsr');
BC_Activate;
ExecuteRepair(1);
ExecuteRepair(6);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил и два скопированных Вами файла в архиве с паролем virus (загружать здесь: http://virusinfo.info/upload_virus.php?tid=23665 ).

Сделайте новые логи.

[SteppenWolf]

C:\WINDOWS\system32\sywtdxaz.sys этот файл не удаляется IceSword. Вернее при перезагрузке появляется опять. Второй фаqл высылаю. Все выполнил, но опять ломится в инет постоянно

[kps]

А где новые логи? По поводу файла, о котором вы сказали - Вы его скопировали в IceSword ?

[SteppenWolf]

Выкладываю новые логи


[moderated: Файлы присылаются согласно приложения 3 правил]

[SteppenWolf]

И еще. Файл C:\WINDOWS\system32\sywtdxaz.sys скопировал, но при попытке архивирования WInZip выдает ошибку... так что как zip-файл не могу его отправить

[V_Bond]

карантин из темы - убрать ...
прислать по ссылке над темой ...
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\sywtdxaz.sys','');
 QuarantineFile('C:\WINDOWS\systemroot\system32\drivers\clbdriver.sys','');
 QuarantineFile('C:\Program Files\Internet Explorer\SETUPAPI.dll','');
 DeleteFile('C:\Program Files\Internet Explorer\SETUPAPI.dll');
 DeleteFile('C:\WINDOWS\\system32\drivers\clbdriver.sys');
 DeleteFile('C:\WINDOWS\system32\sywtdxaz.sys');
BC_Importall;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[SteppenWolf]

Новые логи...

[PavelA]

Все-таки надо пытаться удалить этот файл через IceSword:
C:\WINDOWS\system32\sywtdxaz.sys

AVZ с этим справиться пока не сможет.

[SteppenWolf]

Вроде бы убивается... но после перезагрузки появляется опять

[kps]

Скачайте Gmer. Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.

[SteppenWolf]

Результат сканирования gmer`ом...

[kps]

Попробуйте в Gmer'е на закладке Files скопировать C:\WINDOWS\system32\sywtdxaz.sys, чтобы прислать нам.
Затем этому файлу сделайте force delete в IceSword и сразу затем выполните такой скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\sywtdxaz.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('sywtdxaz');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. Прикрепите новые логи по правилам и boot_clr.log из папки AVZ.

[SteppenWolf]

Очередные логи... похоже, что умер, активности не видно

[SteppenWolf]

А вот и эта ранее неубиваемая зараза

[kps]

Удалите ее отсюда, здесь нельзя, надо прислать ее сюда: http://virusinfo.info/upload_virus.php?tid=23665
В логах чисто, зловред удален.
На всякий случай можете выполнить пункт 2 правил.
Какие-то проблемы остались?

[SteppenWolf]

Да вроде бы проблем сейчас нет. Поставил Dr.Web и запустил полную проверку системы

Добавлено через 6 минут

И эту заразу отправил куда надо...
Большое спасибо всем, кто помог!!!

[kps]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. \\syw - Rootkit.Win32.Agent.avm (DrWEB: Trojan.Spambot.3329)
  2. \\xej74.sys - Trojan-Downloader.Win32.Mutant.aim (DrWEB: BackDoor.Bulknet.207)