Червь. Win32.HLLP.Rox

[Вязь]

Добрый день.
Заблокированы свойства папки.
Безопасный режим не загружается.
Лог HijackThis не сохраняются.
AVZ не выполнял скрипты.
В другой теме нашел ссылку на другой вариант AVZ - получилось сделать стандартные скрипты.

[AndreyKa]

Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 ExecuteRepair(8);
 ExecuteRepair(17);
 ExecuteRepair(10);
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\pagefile.pif','');
 QuarantineFile('C:\WINDOWS\system32\dnsq.dll','');
 QuarantineFile('c:\windows\system32\com\smss.exe','');
 QuarantineFile('c:\windows\system32\com\lsass.exe','');
 DeleteFile('C:\pagefile.pif');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

[Вязь]

Файл закачан, спасибо!
Хочу уточнить, что файлы приходится переносить через флешку на другой комп, где есть интеренет. Каждый раз на здоровом флешка чистится Вебом с обновленными базами. При включении флешки предупреждает и сразу блокирует червя.

[kps]

Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
RegKeyParamDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Session Manager', 'PendingFileRenameOperations');
DeleteFile('c:\windows\system32\com\lsass.exe');
DeleteFile('c:\windows\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\com\netcfg.dll');
DeleteFile('C:\WINDOWS\system32\com\netcfg.000');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\pagefile.pif');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\NetApi000.sys');
DeleteFile('C:\WINDOWS\System32\drivers\alg.exe');
DeleteFile('C:\037589.log');
DeleteFile('D:\037589.log');
DeleteFile('C:\WINDOWS\system32\AntiTool.exe');
DeleteFileMask('c:\', 'lsass.exe.*', false);
DeleteFileMask('c:\documents and settings\all users\Главное меню\Программы\Автозагрузка', '*.exe', false);
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
ExecuteRepair(6);
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте 3 новых лога по правилам.

[Вязь]

новые логи

[AndreyKa]

Пофиксте в HijackThis строку:

O20 - AppInit_DLLs: C:\WINDOWS\system32\dnsq.dll

В остальном чисто.
От антивируса со старыми базами толку мало.
Обновления безопасности на Windows не помешает установить.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\pagefile.pif - Virus.Win32.Xorer.eo ( DrWEB: Win32.HLLP.Rox.15, BitDefender: Trojan.Pinx.I )
  2. c:\windows\system32\com\lsass.exe - Virus.Win32.Xorer.eo ( DrWEB: Win32.HLLP.Rox.15, BitDefender: Trojan.Pinx.I )
  3. c:\windows\system32\com\smss.exe - Virus.Win32.Xorer.dt ( DrWEB: Win32.HLLP.Rox, BitDefender: Win32.Xorer.DU )
  4. c:\windows\system32\dnsq.dll - Virus.Win32.Xorer.ee ( DrWEB: Win32.HLLP.Rox, BitDefender: Win32.Xorer.ED )