Вирус опять выплыл!!!

[pcmaster]

Один день отработал, и всё началось поновому.
Почемуто отключился брэндмауэр.
Вот логи новые. Заодно логи каспера.
Еле загрузил.

[Гриша]

Отключите антивирус!


Пофиксить

O17 - HKLM\System\CCS\Services\Tcpip\..\{1BA99916-C62E-4878-BA17-D8EF5CEA69BD}: NameServer = 85.255.116.52,85.255.112.108
O17 - HKLM\System\CCS\Services\Tcpip\..\{6E0EF547-1AF1-4EE3-A044-995AEABC9687}: NameServer = 85.255.116.52,85.255.112.108
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.52 85.255.112.108
O17 - HKLM\System\CS1\Services\Tcpip\..\{1BA99916-C62E-4878-BA17-D8EF5CEA69BD}: NameServer = 85.255.116.52,85.255.112.108
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.52 85.255.112.108
O17 - HKLM\System\CS2\Services\Tcpip\..\{1BA99916-C62E-4878-BA17-D8EF5CEA69BD}: NameServer = 85.255.116.52,85.255.112.108
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.52 85.255.112.108
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32- - C:\WINDOWS\
O20 - Winlogon Notify: WinNt64 - C:\WINDOWS\

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
 DeleteFile('C:\WINDOWS\system32\wstest.dll');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин и повторите логи...

[pcmaster]

карантин отправилю
Высылаю логи.
Файревол не могу включить серые кнопки.
wstest.dll на месте.

[V_Bond]

отключите антивирус ...
віполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
 DeleteFile('C:\WINDOWS\system32\wstest.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....

[pcmaster]

Добрый вечер. Но этот скрипт я уже пробовал.
Сейчас пишу с другого компа. Завтра попробую то что делал раньше.
Напомнюhttp://virusinfo.info/showthread.php?t=26520
Может ещё чего посоветуете?
В брандмауре были разрешения на доступ от файлов типа кат123 и тому подобных.
но он на сером фоне, включить его не могую
больной будет доступен завтра, но хотелось бы заранее подготовиться.
заранее спасибо. Жду ответа. Всётаки неудобно(непривычно) работать в суселюникс

[V_Bond]

C:\WINDOWS\system32\userinit.exe - пришлите согласно приложения 2 правил ...

[pcmaster]

Попробую но уже завтра/
Спасибою

Добавлено через 11 часов 13 минут

файл в карантин послал

[V_Bond]

userinit.exe - чистый ...
expmodule.exe - пришлите ....

[pcmaster]

Файл послал

Добавлено через 4 часа 41 минуту

Поставил wstest.dll доверительную зону. А то Каспер постоянно перезагружает винды, иногда даже не выходя на рабочий стол.
больше никаких глюков не наблюдается.
нашё ещё несколько непонятных файлов типа 3232145.ехе в system32, и iexplorer.exe в апликэшен дата.
может снести KIS и поставить другой антивирус. Другого выхода просто не вижу. Но всё же интересно доделать начатое.


Вопрос. А не может это быть ложным срабатыванием KIS ?
и если можно, за что отвечает( где используется) wstest.dll ? может кто знает.
Заранее благодарен за ответ.

Добавлено через 2 часа 35 минут

нехочется просто сносить Каспера,

[V_Bond]

wstest.dll - Backdoor.Win32.Small.eaj зловред и известный антивирусу ....
C:\WINDOWS\expmodule.exe - TR/Spy.Gen
обязательно отключите антивирус ....
віполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\expmodule.exe');
 DeleteFile('C:\WINDOWS\system32\wstest.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[pcmaster]

Спасибо.
Вроде удалился, сейчас проверяю. Логи вышлю позже.
кстати он у меня опеределялся как Backdoor.Win32.Small.emw
я и не догадался удалить "expmodule.exe"

[pcmaster]

Вот логи

[pcmaster]

Посмотрим что будет завтра
Спасибо.

[pcmaster]

Доброе всем утра.
Вирусов никто ненаходит но, винды не загружаются( не выходят на рабочий стол). приходиться набирать explorer.exe.
Может кто поможет советом. Строка в реестре где( userinit) вроде правильная.
Прошу помочь.
Заранее благодарен.

ЗЫ. Теперь и на другом нет рабочего стола.
Панда находила wstest.dll(подозрительный файл) и переименовала. Наверное как-то перелез, или по сетке или ...
Куда прислать файлы, о которых я писал раньше. Есть подозрение что они могли запуститься?

[V_Bond]

выполните скрипт ...

begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(16);
RebootWindows(true);
end.

[pcmaster]

Спасибо. Я это пробовал,но не помогло.
Запустил восстановление виндов, счас закончиться и посмотрим.

ЗЫ. Винды теперь грузятся.

Спасибо всем. Большое!!!

А по поводу второго ящика, создать новую тему?

[pig]

Да.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\expmodule.exe - Trojan.Win32.Agent.advj (DrWEB: Trojan.Proxy.4392)