Подцепил Win32/Bagle.QQ

[Night_Warrior]

Подцепил червяка Win32/Bagle.QQ все антивирусы (NOD32 стоял) не грузятся пишет что приложение не вин32. Со всеми предложенными программами в правилах происходит тоже самое. Безопасный режим не грузится. Эксплорер и остальные приложения грузятся но сильно тупят. Доступ до инета отключил благо за гейтом стоит комп.
Есть ли шанс вылечить или фрмат с: ?

П.С. файлов приложить не могу т.к. не грузится ни 1 предложеная программа.

[AndreyKa]

Попробуйте это:
http://www.freedrweb.com/livecd
При загрузке с этого CD надо сделать Интернет доступным, чтобы обновить базы.

[Night_Warrior]

Прогнал двэб он ничего не нашел перед этим удаленно проверял диск с: Nod32 он нашел (см.лог) но не очистил т.к. проверка была удаленной. Проблема сохраняется...

[Гриша]

Попробуйте этот AVZ http://depositfiles.com/files/sutnyhabc

[Night_Warrior]

Запустилось... проверил... Проблема остается.

[PavelA]

Нормальные логи пришлите, если получились.

[Night_Warrior]

Извиняюсь! Вот пожалуйста.

[rubin]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\MsSip3.dll','');
 QuarantineFile('C:\WINDOWS\system32\MsSip2.dll','');
 QuarantineFile('C:\WINDOWS\system32\MsSip1.dll','');
 QuarantineFile('C:\Documents and Settings\Administrator.CONSULT\Application Data\drivers\wfsintwq.sys','');
 DeleteFile('C:\Documents and Settings\Administrator.CONSULT\Application Data\drivers\wfsintwq.sys');   
 BC_ImportAll;
 BC_DeleteSvc('wfsintwq');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=39003

[Night_Warrior]

Доброе утро! Выполнил скрипт... комп ушел в ребут после загрузки АВЗ больше не запустился вернее запускается и сразу вылетает... Архив создал в ручную и выслал... не знаю только дошел ли...

З.Ы. Кстати могу прислать файлик после запуска которого вся бодяга началась если надо. (Файл с расширением *.exe) в нем нод нащел Win32/Bagle.QQ

ЗЗ.ЫЫ. Еще обнаружилась такая вещь: В папке Eset\Nod32\ есть файлик egui.exe он постоянно обновляется т.е. происходит примерно тоже само что при нажатии ф5 только обновляется только этот файл. иконка на доли секунды становится как у файла *.com потом опять родня становится... На других компах такого нет. Стоит НОД32 Корпоративный и обновляется везде синхронно т.ч. версии одинаковые.

[rubin]

файл дошёл. в safe mode тоже не загружается?

[AndreyKa]

C:\Documents and Settings\Administrator.CONSULT\Application Data\drivers\wfsintwq.sys = Trojan-Downloader.Win32.Bagle.amj
А DrWeb его еще не детектирует
Исходный файл загрузите туда же в zip архиве с паролем virus

[Night_Warrior]

Нет... сразу в ребут уходит... а АВЗ на сколько я понял сам себя заблокировал т.к. при попытке выполнить разархивированный файл просто вылетает, а если открывать из архива пишет что "Потенциально опасное ПО заблокировано" а НОД32 не загружен и не грузится...

Добавлено через 1 минуту

AndreyKa Уточни плиз какой исходный файл? после которого все началось? или какой?

Добавлено через 12 минут

Отправил файлы после которых все началось если не то пришлю что нужно...

Добавлено через 4 минуты

AndreyKa Есть еще идея перекинуть хард на другую машину и прогнать его НОД`ом он же нашел (выше есть лог) тока не убил т.к. удаленная проверка была... только я не знаю как размножается эта дрянь... не заражу ли я вторую систему?

[AndreyKa]

run.exe = Trojan-Downloader.Win32.Bagle.anb (KIS), Trojan.Packed.650 (DrWEB)

К другому компьютеру диск можно подключить, если с него ничего не запускать, то зараза не должна перекинуться.

[Night_Warrior]

Ура счастье есть оно не может не есть!) 20мин работаю полет нормальный! Короче перекину хард на другую машину провел нодом полную проверку он всех зверьков замочил!
Всем по спасибу)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 19
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\administrator.consult\application data\drivers\wfsintwq.sys - Trojan-Downloader.Win32.Bagle.amj
  2. \quarantine\2009-02-06\bcqr00007.dta - Trojan-Downloader.Win32.Bagle.amj
  3. \quarantine\2009-02-06\bcqr00008.dta - Trojan-Downloader.Win32.Bagle.amj
  4. \run.exe - Trojan-Downloader.Win32.Bagle.anb (DrWEB: Trojan.Packed.650)