лечение Win32.HLLW.Autoruner.5555 №3 [Net-Worm.Win32.Kido.ih ]

[KostyaSV]

Вот логи от машины с Win32.HLLW.Autoruner.5555

Правильно ли я написал скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\knhqmisz.dll', ' ');
DeleteService('aamjsm');
DeleteService('ctxyndhx');
DeleteService('hzpufv');
DeleteService('kficmw');
DeleteService('ygqqe');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteFile('C:\WINDOWS\system32\knhqmisz.dll');
DeleteFileMask('%tmp% ','*.* ',true);
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('aamjsm');
BC_DeleteSvc('ctxyndhx');
BC_DeleteSvc('hzpufv');
BC_DeleteSvc('kficmw');
BC_DeleteSvc('ygqqe');
BC_Activate;
RebootWindows(true);
end.

Еще, конечно, смущает:
C:\WINDOWS\system32\startservice.exe

Проверьте, пожалуйста.

[Bratez]

Правильно ли я написал скрипт

В общем да, все верно.

Отключите восстановление системы!
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\INSTALL\1.cmd','');
 QuarantineFile('C:\WINDOWS\system32\01.tmp','');
 QuarantineFile('C:\WINDOWS\system32\startservice.exe','');
 QuarantineFile('C:\WINDOWS\system32\knhqmisz.dll','');
 DeleteFile('C:\WINDOWS\system32\knhqmisz.dll');
 DeleteFile('C:\WINDOWS\system32\01.tmp');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ygqqe');
BC_DeleteSvc('kficmw');
BC_DeleteSvc('hzpufv');
BC_DeleteSvc('ctxyndhx');
BC_DeleteSvc('aamjsm');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=37054).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[KostyaSV]

Компьютер перезагрузил.
Карантин послал
Логи приложены.

Только одна проблема появилась - не могу снять галочку "Отключить восстановление системы на всех дисках" компьютер виснит, принудительная перезагрузка через час и галочка все-равно стоит!

Почитал логи. Наверное надо выполнить еще:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteFile('C:\WINDOWS\system32\01.tmp');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('bmnevb');
BC_Activate;
RebootWindows(true);
end.

[pig]

Hint: скрипты, завёрнутые в тег [code], читаются легче.

[Гриша]

Скачайте эту AVZ http://depositfiles.com/files/5k0qihqas и выполните в ней свой последний скрипт...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\knhqmisz.dll - Net-Worm.Win32.Kido.ih (DrWEB: Win32.HLLW.Autoruner.5555)