При открытии проводника корректируется реестр

[chaick]

Появилась подозрительная активность на компе. Касперский визжит, блокируя троянов. Однако после того, как Касперский замолчал, появились странности. Одна из них - при открытии проводника какой-то процесс пытается сделать запись в реестр винды. Касперский это видит и я запрещаю запись.
Скачал DrWeb. Протестировал комп в соответствии с рекомендациями Правил. На всех дисках было найдено около 20 различных вирусных обьектов. Все удалил. Однако активность Проводника не прекратилась.
Запустил AVZ в соответствии с рекомендациями. После это активность проводника ПРЕКРАТИЛАСЬ.
Нет уверенности, что все нормально, поэтому высылаю логи.

[light59]

В AVZ -> файл-> Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\drivers\d19cd53b.sys','');
BC_Importquarantinelist;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=37426

[PavelA]

Вот такая добавочка:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('Evsqedanaad.sys','');
 BC_DeleteSvc('Evsqedanaad');
 QuarantineFile('C:\WINDOWS\system32\drivers\lunliawbavpg.sys','');
 BC_DeleteSvc('fctkurlbq');
 DeleteFile('C:\WINDOWS\system32\drivers\lunliawbavpg.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[chaick]

Простите, хочу уточнить. Какой скрипт запускать - 1-й или 2-й? Или же оба в одном сеансе? Или каждый по очереди? Может быть напишете один общий скрипт.
Подожду вашего ответа, потом запущу.

[Гриша]

По очереди сделайте...

[chaick]

Запустил по очереди оба скрипта, два раза перезагружался. После этого проделал полный цикл повторных проверок. Логи прилагаю.
Подозрительно, что при перезагрузке компа (в конце загрузки) появляется сообщение, что некий процесс не может подключиться к адресу 0.0.0.0

[light59]

карантин пришлите согласно приложению 3 правил

[chaick]

Выслал карантин virusinfo_cure.zip

Добавлено через 5 часов 53 минуты

Кто-то в моем компе явно хозяйничает. Рассылает по аське от моего имени сообщения.
Что там с логами у меня?

[chaick]

Уважаемые хелперы, прошу вас обратить внимание на файл d19cd53b.sys . Первым скриптом его помещали в карантин, но он все-равно находится в папке drivers и к тому же не читается антивирусником.
Нет увереннности, что в компе нет зверя. Временно отказался от Касперского и поставил Nod32, просканировал, но ничего не найдено.
Посмотрите, пожалуйста на логи и на карантин. Все ли там нормально?

[PavelA]

'C:\WINDOWS\System32\drivers\d19cd53b.sys' - не попал в карантин.
Попытайтесь найти его руками и поместить в карантин.

[chaick]

'C:\WINDOWS\System32\drivers\d19cd53b.sys' не позволяет ни переместить себя, ни вырезать.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\drivers\d19cd53b.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи AVZ...

[chaick]

Еще вызывают подозрения файлы c:\hiberfil.sys и c:\pagefile.sys Причем hiberfil.sys (523кб) появляется там только в Основном режиме виинды, в Защищенном его нет. Оба этих файла также не читаются антивирусником.

[Гриша]

Это системные файлы...

pagefile.sys- файл подкачки...

hiberfil.sys- файл используется для режима гибернации...

[chaick]

Вроде бы этот дравер удалился. Загружаю логи AVZ.
Кстати, этот драйвер d19cd53b.sys мне удалось поместить в zip в защищенном режиме вместе со всеми файлами из папки draver. Если это интересно, могу загрузить этот зип в качестве карантинных файлов.

[Гриша]

Пришлите этот архив под паролем "virus"...

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('d19cd53b');
 DeleteFile('C:\WINDOWS\System32\drivers\d19cd53b.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('d19cd53b');    
BC_Activate;
RebootWindows(true);
end.

Повторите пункт 2 диагностики...

[chaick]

Запустил скрипт. Выклыдаю лог

[Гриша]

В логах чисто, жалобы есть?

[chaick]

Загрузил Архив под паролем. Не знаю успешно ли.

Добавлено через 48 секунд

Нет, жалоб пока нет. Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены