Win32.Sector (CureIT) и ???

[andpal]

Перестал запускаться Avira и затем оказалось и regedit и др., в защищенном режиме не грузится, диспетчер задач заблокирован.
До моего вмешательства установили NOD32, тоже не работает.
Стал чистить CureIT, обнаружилось много Win32.Sector.7.
HijackThis запускался, а AVZ - нет, даже после переименования, скачали www.drpbk.dp.ua/cure/mf/game.pif - запустился, все сделали с его помощью.
Что делать дальше?

[Wild Spirit]

Пофиксите в HijackThis

O9 - Extra button: (no name) - DctMapping - (no file)

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\xvidvfw.dll','');
 QuarantineFile('C:\WINDOWS\system32\stisvc.exe','');
 QuarantineFile('C:\WINDOWS\system32\MsSip3.dll','');
 QuarantineFile('C:\WINDOWS\system32\MsSip2.dll','');
 QuarantineFile('C:\WINDOWS\system32\MsSip1.dll','');
 QuarantineFile('C:\WINDOWS\System32\tssdis.exe','');
 QuarantineFile('C:\WINDOWS\System32\polagent.dll','');
 QuarantineFile('C:\WINDOWS\System32\ospfmib.dll','');
 QuarantineFile('C:\WINDOWS\System32\ospf.dll','');
 QuarantineFile('C:\WINDOWS\System32\iprip2.dll','');
 QuarantineFile('C:\WINDOWS\System32\ipbootp.dll','');
 QuarantineFile('C:\WINDOWS\System32\igmpv2.dll','');
 QuarantineFile('C:\WINDOWS\System32\hidserv.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\vinyl97.sys','');
 QuarantineFile('E:\INSTALL\GMSIPCI.SYS','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ftser2k.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ftdibus.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\lnkno.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\epfwtdir.sys','');
ExecuteRepair(17);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин (http://virusinfo.info/upload_virus.php?tid=48201) вверху темы.

[PavelA]

Win32.Sector.7 до конца вылечили?

[andpal]

Выполнил скрипты
Подготовил карантин отправил
Файл сохранён как 090619_141013_virus_4a3b64056fa4c.zip
Размер файла 149045
MD5 ead7d5c322cdefe900c54de76f51a5ca
Также не грузится в защишенном, не запускается regedit, avz и др.
В AVZ (.pif) выполнил "восстановление" п.1,10,11,17
Перегрузился в защищенный режим.
Проверил CureIT, снова много Win32.Sector и др., вроде "Излечено" (есть лог(csv), могу прислать).
Перегрузился, поудалял кое-что (включая NOD32), почистил.
Avira не запускается и не удаляется.
Перегрузился, проверил CureIT - OK, подготовил файлы по правилам.
М.б. Avira и AVZ запорчены вирусом (или антивирусом), тогда их просто переустановить? Надеюсь на подтверждение что система чиста.

[PavelA]

Лечились, запуская Куреит с CD?

[andpal]

Лечились, запуская Куреит с CD?

Нет, в защищенном режиме (последний раз) копировал в C:\Temp и запускал.

[PavelA]

Тогда распакуйте Куреит, это простой архив. Запишите на CD и лечитесь.

[andpal]

ОК. Спасибо! Загрузились с СД, почистили все CureIT. Вроде вирусов нет, но некоторые задачи после лечения CureIT перестали запускаться, пришлось их переустанавливать.

[gjf]

Сделайте повторные логи согласно Правил (Диагностика)
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

[andpal]

Извиняюсь за задержку, был "недоступен". Пользователи не жаловались. Проблем (явных) нет.
Сделал логи.

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 СlearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\drivers\lnkno.sys','');
BC_QrFile('C:\WINDOWS\system32\drivers\lnkno.sys');

BC_Activate;
RebootWindows(true);
end.

Загрузить карантин по Правилам через http://virusinfo.info/upload_virus.php?tid=48201

[andpal]

Выполнил скрипт.
Карантин пустой. Загружать нечего.

[PavelA]

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteService('abp470n5');
 DeleteFile('C:\WINDOWS\system32\drivers\lnkno.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать новые логи.

[andpal]

на BC_DeleteService('abp470n5'); дает ошибку,
вероятно надо BC_DeleteSvc('abp470n5'); ?

[PavelA]

Угу. Извините за ошибку.

[andpal]

Выполнил, сделал логи

[PavelA]

В логах чисто.

[andpal]

OK! Значит все вылечили. Можно тему закрыть. Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 42
• В ходе лечения вредоносные программы в карантинах не обнаружены