Снова информер, McAfee как всегда молчит.

[Borodach]

Просьба помочь вычистить заразу. К сожалению все требования по запуску AVZ соблюсти не удалось - остался загрузчик McAfee, после проключения локалки заново накатывает с сервера и активирует антивирусник. Все, что он нашол - авторан .
Информер срабатывает произвольно и не сразу - красное окно с приглашением на SMS для кода разблокировки.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\digiwet.dll','');
 DeleteFile('C:\WINDOWS\system32\digiwet.dll');
 DeleteFile('crypts.dll');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 SetAVZPMStatus(true);
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=44590

3. Повторите логи.

Добавлено через 1 минуту

В hosts вносили изменения?

[Borodach]

Восстановление отключено.
В hosts вносил, ничего нового не прибавилось.
Антивирь удален, но загрузчик от него можно вычистить только ручками.
Пришибание процессов UdaterUI.exe и McTray.exe дает только "временное затишье", при обнаружении сетки в течении 5 мин антивирь опять установлен. McAfee - корпоративный.
Вообщем пофиксил эти файлы в HijackThis (3 значения) и на всяк случай перенес каталог C:\Program Files\Network Associates\Common Framework в другое место, иначе ничего не прокатывало, можно и менее кординально, но времени на разборки мало.
Новые логи приложены.
Малость намудрил:
- старый каталог LOG переместил в другое место, Quarantine не трогал.
- после скрипта на первом прогоне пришлось остановить тест1 для прибивания макаки - успел поставиться.
- после перзагрузки сделал повтор теста1 и продолжил далее тест2 и HijackThis.
- virusinfo_cure.zip - приаттачен новый

После выполнения скрипта система стала пытается поставить какое-то железо, но дров не находит, бум искать что слетело.

ЗЫ: как мало компу надо для счастья - удали макаку и все летает (независимо от наличия виря).

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 DeleteFile('digiwet.dll');
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

3. Пофиксите в HijackThis:

O20 - Winlogon Notify: crypt - C:\WINDOWS\

4. Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Borodach]

Сделал, загрузил.
В карантине, если я правильно понял, файлы чистые:
mfehidk.sys компонент Antispyware модуля макаки
iertutil.dll компонент от IE7

[light59]

Что с проблемами?

Добавлено через 3 минуты

пункт 1 диагностики сделайте... что-то мне тут не даёт покоя

[Borodach]

Увы, спасибо за потраченное на меня время, но резульнат плачевный.
Параллельно попробовал разобраться с железом - что слетело и при повторном накате ранее загруженных дров система приказала долго жить . Грузится только в безопасном режиме, в другом варианте только синий экран и перезагрузка, стабилизировать синюшник не удается - очень короткое время отображения. По событиям ситемы - критическая 0x1000008e, вообщем проще переставить - все одно, стабильнее будет и времени на порядок меньше займет (хоть и интересно ....) пока это не массовое.
По логам проблема - сеть (все ошибки из-за сетевых служб). Попробовал накатить Sp3 - ситуация исправилась до установки дров (до этого снес все), потом тоже самое.
Подобная ситуация уже на 2й тачке (везде Sp2), первый раз недочистил, было порядка 5 штук разнопрофильных. Сейчас с дровами погорел или просто поспешил. Ладно век живи - век учись и всеравно ... . На чем то учится надо. Жалко, что образ не сделал , теперь ковырять нечего.
В целом из активных кроме разновидности Trojan.Inject и Trojan.DownLoad ничего не нашол.

[Aleksandra]

Очень жаль.

Из найденного: digiwet.dll - Backdoor.Win32.Zdoogu.bp

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\digiwet.dll - Backdoor.Win32.Zdoogu.bp ( DrWEB: Trojan.Inject.5512 )