Перезагрузка ПК с сообщением NT AUTHORITY\SYSTEM

[v_ov]

Я, видимо, не первый... Пошла волна.
Win XP Pro SP3 перегружается выдавая окно: Система будет перезагружена через 60 сек, Windows/system32/services.exe. Вылетает через разное время при наличии подключения к интернету. Dr.Web сканнер в безопасном режиме находит BackDoor. Но не помогает...

[Numb]

На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор.
Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\twext.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\xinstall.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\vmi386.sys','');
 QuarantineFile('c:\program files\ewa net\database\transbase epc\tbmux32.exe','');
 SetServiceStart('vmi386', 4);
 DeleteFile('C:\WINDOWS\System32\drivers\vmi386.sys');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\vmi386.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\xinstall.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\xinstall.sys');
 DeleteFile('C:\DOCUME~1\Volodia\LOCALS~1\Temp\ASFWHide');
 BC_DeleteFile('C:\DOCUME~1\Volodia\LOCALS~1\Temp\ASFWHide');
 DeleteService('vmi386');
 BC_DeleteSvc('vmi386');
 DeleteService('ASFWHide');
 BC_DeleteSvc('ASFWHide');
Clearhostsfile;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=33145 , как написано в прил.2 правил, и повторите логи.

[v_ov]

Карантин отправлен. Повторные логи.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\twext.exe','');
 DeleteFile('C:\WINDOWS\system32\twext.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[v_ov]

Карантин отослан. Последние логи.

[v_ov]

Огромное спасибо за помощь! Гонят с работы... Если за выходные машину не убьют, то продолжу. (Или нет, что гораздо лучше).

[Гриша]

Выполните скрипт от V_Bond в Safe Mode...

[AndreyKa]

В карантине
C:\WINDOWS\system32\twext.exe - Trojan-Spy.Win32.Zbot.fwo
C:\WINDOWS\System32\drivers\vmi386.sys - Trojan.Win32.Pakes.lli
c:\program files\ewa net\database\transbase epc\tbmux32.exe - чистый

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 0
• В ходе лечения вредоносные программы в карантинах не обнаружены