Полечил комп, подозрения остались

[Yurii]

Логи:

[Yurii]

c:\windows\system32\kdcde.exe опознается DrWEB как Trojan.Virtumod.based.22, Касперским как Trojan.Win32.Monder.gen
Вирус удалил и пофиксил реестр.

Закачал карантин: 080711_000017_virus_4876e8e17cc80.zip

PS: virustotal все файлы из карантина считает чистыми

[PavelA]

К сожалению, тут еще есть кучка.
Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\msv1_0.dll','');
 QuarantineFile('c:\6r870m.exe','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\kdcde.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 DeleteService('tcpsr');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Agl28.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\system32\kdcde.exe');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('c:\6r870m.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Профиксить:

O4 - HKLM\..\Run: [advap32] "c:\6r870m.exe" /r
O4 - HKLM\..\Run: [C:\WINDOWS\system32\kdcde.exe] C:\WINDOWS\system32\kdcde.exe
O4 - HKCU\..\Run: [iexplorer] C:\WINDOWS\iexplorer.exe --system
O4 - HKCU\..\Run: [msserv] C:\WINDOWS\msserv.exe
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
O22 - SharedTaskScheduler: Hkjr94jdfdgj - {B5AC49A2-94F2-42BD-F434-2604812C897D} - (no file)
O22 - SharedTaskScheduler: Hjkfj93dffd - {B5AF0562-94F3-42BD-F434-2604812C797D} - (no file)

Загрузить карантин. сделать новые логи.

[Yurii]

Логи сделал, карантин закачал.

[PavelA]

Вот эта парочка еще похоже жива:
O4 - HKCU\..\Run: [iexplorer] C:\WINDOWS\iexplorer.exe --system
O4 - HKCU\..\Run: [msserv] C:\WINDOWS\msserv.exe

Сейчас нарисую скрипт для их помещения в карантин и удаления.

[Yurii]

Вот эта парочка еще похоже жива:
O4 - HKCU\..\Run: [iexplorer] C:\WINDOWS\iexplorer.exe --system
O4 - HKCU\..\Run: [msserv] C:\WINDOWS\msserv.exe

Сейчас нарисую скрипт для их помещения в карантин и удаления.

Не надо. Это осталось из-за того, что секция "Пофиксить" появилась после того, как я начал делать логи. Сейчас все чисто. Спасибо!

[PavelA]

Логи для завершения нашей работы сделай все же. Не могу я тебя выписать из лечебницы без них.