Нужна помощь

[Arhaglor]

Машину погрызли вири. При чем погрызли капитально, после сканирования CureIt нашлось до черта троянов и пара бэкдоров.

Теперь о грустном: заблокирован запуск служебных и сервисных утилит. Нет возможности сканировать систему при помощи AVZ , Hijacktools.

Есть ли возможность как-то вылечить машину, не прибегая к форматированию?

[light59]

Нет возможности сканировать систему при помощи AVZ , Hijacktools

они не запускаются? Попробуйте переименовать avz.exe в 132.pif

[Arhaglor]

логи

[Bratez]

Пофиксите в HijackThis:

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe sfsp.cfo beforegttav
O2 - BHO: (no name) - {88888888-8888-8888-8888-888888888888} - (no file)
O2 - BHO: MS Media Module - {9D64F819-9380-8473-DAB2-702FCB3D7A3E} - %USERPROFILE%\Application Data\msmedia.dll (file missing)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\user\Local Settings\Temp\11.tmp','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\msmedia.dll','');
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('0.exe','');
 QuarantineFile('C:\WINDOWS\system32\1028d.exe','');
 QuarantineFile('C:\WINDOWS\system32\sfsp.cfo','');
 DeleteFile('C:\WINDOWS\system32\sfsp.cfo');
 DeleteFile('C:\WINDOWS\system32\1028d.exe');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\msmedia.dll');
 DeleteFile('C:\Documents and Settings\user\Local Settings\Temp\11.tmp');
 DeleteFileMask('C:\Documents and Settings\user\Local Settings\Temp','*.*',true);
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=57038).
Сделайте новые логи.

[Arhaglor]

логи тут, карантин подгрузил

[Bratez]

Пофиксите в HijackThis:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

Выполните скрипт в AVZ:

begin
BC_DeleteSvc('DcomLaunchCOMSysApp');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи в нормальном режиме (только п.2 и 3 раздела Диагностика).
Какие проблемы остались?

[Arhaglor]

свежие логи.

жалоб вроде пока нет.

[Bratez]

В логах все нормально, только немного мусора в реестре осталось, никак не удаляется.
Давайте попробуем такой скрипт:

begin
RegKeyResetSecurity( 'HKLM', 'SYSTEM\CurrentControlSet\Services\DcomLaunchCOMSysApp');
RegKeyDel( 'HKLM', 'SYSTEM\CurrentControlSet\Services\DcomLaunchCOMSysApp');
RegKeyStrParamWrite( 'HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', 'C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll');
RebootWindows(true);
end.

После перезагрузки повторите п.2 Диагностики.

[Arhaglor]

логи.
система вроде жива

[Bratez]

Хммм, один ключ так и не удалился. Если проблем действительно нет, можно оставить и так. А можем попробовать все же добить. Сделайте лог gmer, посмотрим, что он покажет.

[Arhaglor]

Хммм, один ключ так и не удалился. Если проблем действительно нет, можно оставить и так. А можем попробовать все же добить. Сделайте лог gmer, посмотрим, что он покажет.

хм.. сделать проблематично, машинку уже отжали назад. но, если проблема возникнет - знаю уже в каком направлении рыть) Спасибо за помощь, почти земляк )

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\user\local settings\temp\11.tmp - Trojan-Downloader.Win32.Hegeny.x
  2. c:\windows\system32\sfsp.cfo - Backdoor.Win32.Bredavi.agq ( AVAST4: Win32:Rootkit-gen [Rtk] )