не могу справиться с Autoruner

[ELINC7]

Добрый день,
помогите не могу справиться с Autoruner.
Проверяла компьютер и DrWeb и AVPTool - вроде всё удаляет, но есть ощущение, что всё равно остался.
Логи прилагаю.

[thyrex]

Пофиксите в HiJack

F2 - REG:system.ini: Shell=Explorer.exe "C:\WINDOWS\system32\msmgr.exe"
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\msupdt.exe,

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\msupdt.exe','');
DeleteFile('C:\WINDOWS\system32\msupdt.exe');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\msmgr.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\agp440.sys','');
 TerminateProcessByName('c:\windows\system32\winagent.exe');
 QuarantineFile('c:\windows\system32\winagent.exe','');
 QuarantineFile('C:\WINDOWS\system32\restorer64_a.exe','');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 QuarantineFile('C:\WINDOWS\mfrdqi.dll','');
 QuarantineFile('C:\WINDOWS\System32\drivers\svchost.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-4826628158-6089952111-796886696-8506\MsMxEng.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\photo_id.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvcrt57.dll','');
 DeleteFile('C:\WINDOWS\system32\msvcrt57.dll');
 DeleteFile('C:\Documents and Settings\Администратор\photo_id.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','photo_id');
 DeleteFile('C:\RECYCLER\S-1-5-21-4826628158-6089952111-796886696-8506\MsMxEng.exe');
 DeleteFile('C:\WINDOWS\System32\drivers\svchost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','svhost');
 DeleteFile('C:\WINDOWS\mfrdqi.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\DHCPS\Parameters','ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
 DeleteFile('C:\WINDOWS\system32\restorer64_a.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','restorer64_a');
 DeleteFile('c:\windows\system32\winagent.exe');
 DeleteFile('C:\WINDOWS\system32\msmgr.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Internet Agent');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Generic Host for Win32 Services');
 DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(13);
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Добавлено через 3 минуты

C:\WINDOWS\system32\DRIVERS\agp440.sys замените на чистый с дистрибутива

[ELINC7]

Высылаю новые логи для проверки

[thyrex]

Выполните скрипт в AVZ

begin
QuarantineFile('C:\WINDOWS\system32\msxslt3.exe','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

[ELINC7]

карантин отправила только за 20 число.
на 23 ноября файлов в карантине нет и соотвтетсвенно он не создается.

[thyrex]

Пофиксите в HiJack

O4 - HKLM\..\Run: [MsXSLT] C:\WINDOWS\system32\msxslt3.exe

Поищите файл C:\WINDOWS\system32\msxslt3.exe (возможно он скрытый). Если найдется, пришлите

[ELINC7]

файл msxslt3.exe не найден, но DrWeb опять обнаружил вирус Autoruner.
Полностью выполнила проверку DrWeb - несколько зараженных файлов удалено. Далее перезагрузка компа и полностью проверка AVPTool - также несколько вирусов удалено (мне даже кажется, что наименование и файлы те же, что и DrWeb уже удалил).

Прилагаю новые логи.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{E6FB5E20-DE35-11CF-9C87-00AA005127ED}');
 QuarantineFile('C:\WINDOWS\system32\mspatch-01917.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvcrt57.dll','');
 DeleteFile('C:\WINDOWS\system32\msvcrt57.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[ELINC7]

Прилагаю новые логи

[vegas]

Выполните скрипт

begin
 SearchRootkit(true,true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\mspatch-01917.exe');
 DeleteFile('c:\windows\system32\mspatch-01917.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mspatch-01917');
 BC_ImportALL;
 ExecuteSysClean;
 BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
 BC_Activate;
 ExecuteWizard('TSW', 3, 3, true);
 RebootWindows(true);
end.

Пофиксите Hijackthis (если останется)

F2 - REG:system.ini: Shell=Explorer.exe "C:\WINDOWS\system32\mspatch-01917.exe"
O4 - HKLM\..\Run: [mspatch-01917] "C:\WINDOWS\system32\mspatch-01917.exe"

Повторите логи

[ELINC7]

фиксовать не пришлось (ничего не осталось).
новые логи прилагаю

[thyrex]

Плохого не видно. Проблема решена?

[ELINC7]

пока тихо.
когда вирус сразу появляется звук как-будто хочет считаться дискета.

Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 35
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\microsoft common\svchost.exe - Worm.Win32.Bezopi.ts
  2. c:\recycler\s-1-5-21-4826628158-6089952111-796886696-8506\msmxeng.exe - P2P-Worm.Win32.Palevo.kal ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Trojan.Generic.2527981, NOD32: Win32/Peerfrag.DO worm, AVAST4: Win32:Injector-SE [Trj] )
  3. c:\windows\system32\msmgr.exe - Backdoor.Win32.Knokk.ca
  4. c:\windows\system32\mspatch-01917.exe - Backdoor.Win32.Knokk.ce ( DrWEB: BackDoor.Siggen.3843, AVAST4: Win32:Malware-gen )
  5. c:\windows\system32\msvcrt57.dll - Trojan-PSW.Win32.WebMoner.ml
  6. c:\windows\system32\msvcrt57.dll - Trojan-PSW.Win32.WebMoner.mq ( DrWEB: Trojan.PWS.Webmonier.186 )
  7. c:\windows\system32\winagent.exe - Trojan.Win32.Buzus.cpiq ( BitDefender: Trojan.Dropper.Delf.Crypt.C )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !