У меня Win32.HLLW.Autoruner.5555 [Net-Worm.Win32.Kido.ir, Net-Worm.Win32.Kido.ih ]

[ynota]

Каждый раз при загрузке Винды создаётся новый файл-01.tmp,а то и 2,ещё 02.tmp.Доктор Веб пишет ,что он инфицирован Win32.HLLW.Autoruner.5555.
На флешке создаётся скрытая папка recicler, и autorun.inf.
на компе отключается опция отбражения скрытых системных файлов.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('G:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\drivers\rxp.sys','');
 DeleteService('pepasqql');
 QuarantineFile('C:\WINDOWS\system32\01.tmp','');
 DeleteFile('C:\WINDOWS\system32\01.tmp');
 DeleteFile('G:\autorun.inf');
 QuarantineFile('C:\WINDOWS\system32\efuyevmx.dll',' ');
 DeleteFile('C:\WINDOWS\system32\efuyevmx.dll');
 DeleteFileMask('%tmp% ','*.* ',true);     
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('pepasqql');    
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);    
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[ynota]

Всё сделал,похоже что то изменилось.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('jjjpza');
 DeleteFile('C:\WINDOWS\system32\02.tmp');
 DeleteFile('C:\WINDOWS\system32\efuyevmx.dll');
 DeleteFileMask('%tmp% ','*.* ',true);
 DeleteService('rxp');
 DeleteFile('C:\WINDOWS\system32\drivers\rxp.sys');     
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('jjjpza');
BC_DeleteSvc('rxp');    
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[ynota]

Сделал,выполнил.

[Гриша]

Очистите временные папки, кеш браузера, сделайте полную проверку AVPTool...

[ynota]

проверку сделал.Нужно ли ещё что тосделать?

[Гриша]

Логи приложите...

[ynota]

прикладываю.

[Гриша]

Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('dajoapurm');
 DeleteFile('C:\WINDOWS\system32\01.tmp');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('dajoapurm');    
BC_Activate;
RebootWindows(true);
end.

Пункт 2 повторите...

[ynota]

Прикладываю.

[Гриша]

В логах чисто, жалобы есть?

[ynota]

Жалоб нет.Спасибо за заботу.Интересно откуда вирус прицепился?не с флешки ли?

[Гриша]

Поставьте заплатки через WU, у вас был червь который юзает эксплойт для винды...

[ynota]

что такое WU?

[Гриша]

Windows Update...

[ynota]

Опять появился он же и ещё один Win.HLLW.Shadow.based.Доктор Веб нашёл сегодня во временных файлах интернета какие то 4-е файла инфицированных и в системной папке длл-ку тоже больную.логи прилагаю

[Гриша]

Вы заплатки все поставили?

[ynota]

да я не успел,если честно.Они сразу и появились.И надо ли,я поставил 3-ий сервиспак,или надо?

[Гриша]

Вот вам как сказали ставить, значит надо ставить, или думаете мы вас для прикола торопим

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\efuyevmx.dll');
 DeleteFileMask('%tmp% ','*.* ',true);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи...