Помогите скриптом ))

[Ярик]

На компьютере установлен Antivirus XP 2008. Каким образом, неизвестно, от сотрудника не добьешься. CureIt вылетает сразу с ошибкой. В безопасный режим не войти. Редактирование реестра заблокировано. Старый NOD я удалил, а установка Касперского завершается ошибкой.
Логи сделать удалось.

[V_Bond]

скачайте удалите в нем следующие файлы (правой кнопкой force delete)

C:\WINDOWS\System32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\VIDEO.sys
C:\WINDOWS\SYSTEM32\winhelp32.exe
C:\WINDOWS\system32\msupdt.exe
C:\WINDOWS\system32\vmmreg32.dll

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 QuarantineFile('sys32.dll','');
 QuarantineFile('ctlsys.dll','');
 QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
 QuarantineFile('C:\WINDOWS\system32\msupdt.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
 DeleteService('VIDEO');
 QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
 QuarantineFile('C:\WINDOWS\System32\vmmreg32.dll','');
 DeleteFile('C:\WINDOWS\System32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\system32\msupdt.exe');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('ctlsys.dll');
 DeleteFile('sys32.dll');
BC_ImportDeletedList;
ExecuteRepair(11);
ExecuteRepair(17);
ExecuteRepair(10);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[Ярик]

Карантин закачал MD56c31315e8864e5818ff2f4891d1376bc
У меня winzip не берет такие короткие пароли. Пароль virusvirus
Новые логи сделал.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 DeleteService('VIDEO');
 DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи

[Ярик]

новые логи (базы AVZ не обновил, не было интернета с утра)

[drongo]

Карантин закачал MD56c31315e8864e5818ff2f4891d1376bc
У меня winzip не берет такие короткие пароли. Пароль virusvirus
.

Переделать, avz сам ставит нужный пароль если делать по правилам. А на нестандартный пароль ответ будет один:
"пароль не верный, перепакуйте и прешлите со станадартным паролем "

[Ярик]

Карантин переделан и отправлен

[V_Bond]

пофиксите

O20 - Winlogon Notify: ctlsys - C:\WINDOWS\
O20 - Winlogon Notify: sys32 - C:\WINDOWS\

выполните скрипт

begin
 DelWinlogonNotifyByFileName('vmmreg32.dll');
 RebootWindows(true);
end.

hijackthis.log повторите .....

[Ярик]

лог

[V_Bond]

пуск выполнить regedit откройте
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
и в ключе AppInit_DLLs удалите vmmreg32.dll

[Ярик]

vmmreg32.dll удалил. проблем больше нет.
Большое спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\dronova\\local settings\\temporary internet files\\content.ie5\\u9anunuj\\1[1].exe - Trojan.Win32.Agent.ayms (DrWEB: Trojan.Inject.5335)
  2. c:\\windows\\system32\\msupdt.exe - Trojan.Win32.Agent.ayms (DrWEB: Trojan.Inject.5335)
  3. c:\\windows\\system32\\video.sys - Trojan-PSW.Win32.Agent.ljf (DrWEB: Trojan.Firestarter)
  4. c:\\windows\\system32\\vmmreg32.dll - Trojan-Spy.Win32.Agent.gae (DrWEB: Trojan.Firestarter)
  5. c:\\windows\\system32\\winhelp32.exe - Trojan-Spy.Win32.Agent.giu (DrWEB: Trojan.Firestarter)