"Обнаружен KIDO.." - тихо сказал Касперский. "Перезагрузка!" - бодро ответил KIDO.

[Mikhail_1917]

Доброе время суток.

На днях после засовывания флешки в компьютер(WinXPSP3) я получил предупреждение от Касперского 2009. Мол, обнаружен троян KIDO. После чего появилась табличка "Новое оборудование установлено. Перезагрузить ?" После нажатия "нет" комп. перезагрузился.

Из симптомов: невозможно включить показ скрытых папок и в файлов. Появилась неубиваемая папка "D:\1d34ccc60af178a01d486163eec7".

Самолечение не удалось: включил автообновление системы, поставил вручную все патчи от MS какие советовали на форуме касперского, скачал оттуда же KidoKiller, отключил автозапуск как сумел, пробовал DrWeb...

Буду очень признателен за помощь.

[thyrex]

Появилась неубиваемая папка "D:\1d34ccc60af178a01d486163eec7

Это может быть от какого-либо из патчей

Кидо в логах нет

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
 DelBHO('{3041d03e-fd4b-44e0-b742-2d9b88305f98}');
 DelBHO('{201f27d4-3704-41d6-89c1-aa35e39143ed}');
 QuarantineFile('C:\Program Files\AskBarDis\bar\bin\askPopStp.dll','');
 QuarantineFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll','');
 DeleteFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll');
 DeleteFile('C:\Program Files\AskBarDis\bar\bin\askPopStp.dll');
 DeleteFileMask('C:\Program Files\AskBarDis','*.*', true);
 DeleteDirectory('C:\Program Files\AskBarDis');
 DeleteFileMask('D:\1d34ccc60af178a01d486163eec7','*.*', true);
 DeleteDirectory('D:\1d34ccc60af178a01d486163eec7');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Mikhail_1917]

Карантин прислал ("Файл сохранён как 090812_212414_virus_4a82fabe39ea3.zip. Размер файла 206487 MD5 71d38063d54ba48fbe767e5f33c7c175"), скрипт выполнил, логи приложил. Просмотр вскрытых файлов всё равно не включается. Обнаружил, что периодически запускается процесс cisvc.exe занимающий 1 процессор (обычно во время работы программы занимающей занимающей много ресурсов, но сам процесс не останавливаться после выгрузки программы). Думал что это Касп.Интернет Секюьюрити, но Касперский у меня был выгружен в это время.

[V_Bond]

isvc.exe - служба индексирования

[Mikhail_1917]

Извините, вам я прислал карантин полученный ДО выполнения вашего скрипта. Закачал ещё раз карантин полученный ПОСЛЕ ("Файл сохранён как 090812_231505_virus_4a8314b98938d.zip. Размер файла 10674. MD5 7fccab2fd135ae2892d9d7cb43aaf6dc"). Но там ссылка почему-то на матлаб.

[Rene-gad]

Но там ссылка почему-то на матлаб.

Где там? Может на ВИРлаб?
В логах ничего подозрительного.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения вредоносные программы в карантинах не обнаружены