Kido

[Чижъ]

Сеть, 5 компов. Этот назову ГБ. Все симптомы задолбаюсь писать, если нужно - дайте знать.
Доктор не ставится, планировщика нет.
АВТул находит и бьет при каждой инсталяции.
папку инфектед заслал (ведь нужно же?)

[Aleksandra]

Тема в работе. Ждите ответа.

[Чижъ]

спасибо, ждем

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
 QuarantineFile('C:\WINDOWS\System32\msartar.dll','');
 QuarantineFile('C:\WINDOWS\system32\ixdcijo.dll','');
 DeleteFile('C:\WINDOWS\system32\drivers\mswd64.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winae47.sys');
 DeleteFile('C:\WINDOWS\System32\msartar.dll');
 DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\ixdcijo.dll');
 DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('mswd64');
BC_DeleteSvc('Winae47');
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=47750

3. Эти адреса Вам известны?

O17 - HKLM\System\CCS\Services\Tcpip\..\{3423BF47-1C1C-4494-9387-7057C2874F76}: NameServer = 195.248.191.67,195.248.191.72
O17 - HKLM\System\CS1\Services\Tcpip\..\{3423BF47-1C1C-4494-9387-7057C2874F76}: NameServer = 195.248.191.67,195.248.191.72
O17 - HKLM\System\CS3\Services\Tcpip\..\{3423BF47-1C1C-4494-9387-7057C2874F76}: NameServer = 195.248.191.67,195.248.191.72

Если нет, то пофиксите.

4. Повторите логи.

Добавлено через 34 секунды

Еще сделайте такой лог http://virusinfo.info/showthread.php?t=40118

[Чижъ]

Эти адреса Вам известны?

днс-сервера этого провайдера

[Aleksandra]

Да. Они Ваши?

[Чижъ]

1. Отключите восстановление системы и антивирус.

а оно и было отключено с момента инсталляции системы..
или логи говорят обратное?

[Aleksandra]

Это стандартный шаблон ответа.

Добавлено через 1 минуту

Версия Windows: 5.1.2600, Service Pack 3 ; AVZ работает с правами администратора
Восстановление системы: Отключено

У Вас отключено.

Добавлено через 3 минуты

Ваша тема http://virusinfo.info/showthread.php?t=42809 ?

[Чижъ]

да, моя. соседний комп

логи и карантин

gmer, но это еще не все, просто он уже полтора часа и хз когда закончит, а svchost уже красненьким подсветился

[Rene-gad]

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelCLSID('{63B95211-7D77-11D2-9F80-00104B107C96} ');
 QuarantineFile('C:\WINDOWS\System32\msxmlpp.dll','');
 QuarantineFile('C:\WINDOWS\system32\mswsock.dl','');
 DeleteFile('C:\WINDOWS\system32\mswsock.dl','');
 DeleteFile('C:\WINDOWS\System32\msxmlpp.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(14);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
AVZ/Сервис/Поиск файлов, найти и прислать в отельном карантине только их.

c:\windows\system32\tcpsvcs.exe
c:\windows\system32\svchost.exe

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\ixdcijo.dll - Net-Worm.Win32.Kido.ih ( DrWEB: Win32.HLLW.Autoruner.5555, BitDefender: Win32.Worm.Downadup.Gen )
  2. c:\windows\system32\ntos.exe - Trojan-Spy.Win32.Zbot.dfl ( DrWEB: Trojan.Packed.511, BitDefender: Trojan.Spy.ZBot.HK )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !