Скрытые файлы не видно, антивирусы не помогают [Trojan-GameThief.Win32.Magania.asnx, Trojan-GameThief.Win32.Magania.aspi ]

[Solary]

Доброго времени суток!
Проблема следующая:
Принесла подруга комп, на нем вирус убил Антивирус Касперского 6 Воркстэйшн. Касперский не удалялся через Установка/Удаление.., пришлось удалять в ручную, так же удалил 4 ГБ его отчетов об ошибках. После использовал кавремувер9, но Антивирус Касперского 2009 так и не смог установить,т.к. он пишет,что уже установлен др. Касперский. Ставил Нод32, Аваст, они находят вирусы, удаляют, но те снова появляются... почему-то не обновляются....
Сейчас постоянно появляется авторан.инф + еще какие-то вирусы, названия не помню, антивирус их удаляет но они появляются! Скрытые файлы не видно.

Вставлял флэшку зараженную в др. ПК, где установленн Антивирус Касперского 2009 с самыми новыми базами..., так вирус вырубает Касперского(( В Безопасном режиме появляется окошко, что Касперский будет закрыт, но если ничего в нем не нажимать, он проверит всю систему и удалит все при перезагрузки.
Вот так... прикладываю 3файла, как сказанно.

[Bratez]

Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O3 - Toolbar: Rambler-Ассистент - {468CD8A9-7C25-45FA-969E-3D925C689DC4} - (no file)
O4 - HKCU\..\Run: [cdoosoft] C:\WINDOWS\system32\olhrwef.exe
O21 - SSODL: UpdateCheck - {9A12F5B2-F3B2-486A-95BF-4C7E050CA5DD} - (no file)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\iq.bat','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\System32\drivers\BrPar.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys','');
 QuarantineFile('C:\WINDOWS\system32\olhrwef.exe','');
 QuarantineFile('C:\WINDOWS\system32\nmdfgds0.dll','');
 QuarantineFile('C:\WINDOWS\system32\afmain1.dll','');
 QuarantineFile('C:\WINDOWS\system32\afmain0.dll','');
 DeleteFile('C:\WINDOWS\system32\olhrwef.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\iq.bat');
 DeleteFile('D:\iq.bat');
 DeleteFile('F:\autorun.inf');
 DeleteFile('F:\iq.bat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=37388).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Solary]

сделал;
после выполнения скрипта в АВЗ, при перезагрузки, ПК завис, нажал ресет, нормально перезагрузился(если это важно)

я так понимаю надо было выполнить пункт 12? 13?
сделал

[Гриша]

Нужен еще лог после 2 стандартного скрипта...

[Solary]

ок, сделал

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\afmain0.dll');
 DeleteFile('C:\WINDOWS\system32\nmdfgds0.dll');
 DeleteFile('C:\WINDOWS\system32\olhrwef.exe');
 DeleteFile('C:\iq.bat');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\iq.bat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[Solary]

сделано

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\afmain1.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите пункт 2 диагностики...

[Solary]

сделано

[Гриша]

Опять все на месте, флешку подключаете на время лечения?

[Solary]

нет, я ее как вытащил, так больше не вставлял.
кстати, на другом компе Антивирус касперского 2009 вылечил ее без проблем. а сюда его поставить не получается(((

[Solary]

еще в реестре есть подозрительные строки:

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enume\Root \LEGACY_KAVSYS]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enume\Root \LEGACY_KLIF]

они случайно не относятся к вирусу?

и неизвестный процесс AhnRpta.exe

Добавлено через 11 часов 10 минут

Видимо придется форматировать c,d, раз ничего не помогает больше...((

Но все равно, спасибо за помощь!

[Гриша]

Сделайте полную проверку AVPTool...

[Solary]

Сделайте полную проверку AVPTool...

Сделал..Обнаружил:
Trojan-GameThief.Win32.WOW.eka
Trojan-GameThief.Win32.Magania.aspi
Trojan.Win32.Agent.bice
Trojan-GameThief.Win32.WOW.eka
Trojan.Win32.RaMag.a
rojan-GameThief.Win32.Magania.asju
Worm.Win32.AutoRun.pil
Worm.Win32.AutoRun.pnp
Trojan-GameThief.Win32.Magania.ahug

А толку нет... Скрытые файлы опять не видно, авторан везде появляется...

[Гриша]

Логи сделайте...

[Solary]

Спасибо, тему можно закрывать, ставится уже новая винда

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\iq.bat - Trojan-GameThief.Win32.Magania.asnx (DrWEB: Trojan.PWS.Wsgame.4983)
  2. c:\\windows\\system32\\afmain0.dll - Trojan-GameThief.Win32.Magania.aspi
  3. c:\\windows\\system32\\afmain1.dll - Trojan-GameThief.Win32.Magania.aspi
  4. c:\\windows\\system32\\nmdfgds0.dll - Trojan-GameThief.Win32.Magania.aspj
  5. c:\\windows\\system32\\olhrwef.exe - Trojan-GameThief.Win32.Magania.asnx (DrWEB: Trojan.PWS.Wsgame.4983)
  6. d:\\iq.bat - Trojan-GameThief.Win32.Magania.asnx (DrWEB: Trojan.PWS.Wsgame.4983)
  7. f:\\iq.bat - Trojan-GameThief.Win32.Magania.asnx (DrWEB: Trojan.PWS.Wsgame.4983)