Win32/Protector.C

[desa]

NOD обнаруживает угрозу
С:\WINDOWS\system32\drivers\atapi.sys


Cобытие произошло при попытке доступа к файлу в следуещем приложении С:\WINDOWS\system32\svchost.exe

удаление не возможно

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\photo_id.exe');
 QuarantineFile('C:\System Volume Information\_restore{82548C49-DC8A-4F0B-8523-EAAF51DD88BF}\RP31\A0010883.EXE','');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 QuarantineFile('C:\WINDOWS\system32\photo_id.exe','');
 QuarantineFile('C:\WINDOWS\system32\chknt32.exe','');
 QuarantineFile('C:\WINDOWS\system32\FPAP-EXL600\PdtGuide.exe','');
 QuarantineFile('C:\Documents and Settings\user\Рабочий стол\.\..\~tmp1174.exe','');
 QuarantineFile('C:\Documents and Settings\user\photo_id.exe','');
 QuarantineFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\sysupd32.exe','');
 QuarantineFile('c:\windows\system32\photo_id.exe','');
 DeleteFile('c:\windows\system32\photo_id.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','photo_id');
 DeleteFile('C:\Documents and Settings\user\Главное меню\Программы\Автозагрузка\sysupd32.exe');
 DeleteFile('C:\Documents and Settings\user\photo_id.exe');
 DeleteFile('C:\Documents and Settings\user\Рабочий стол\.\..\~tmp1174.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','advap32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
 DeleteFile('C:\WINDOWS\system32\photo_id.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','photo_id');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
 DeleteFile('C:\System Volume Information\_restore{82548C49-DC8A-4F0B-8523-EAAF51DD88BF}\RP31\A0010883.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте еще такой лог:
http://virusinfo.info/showthread.php?t=40118.

Сделайте новые логи.

[desa]

Cкрипт выполнен, после перезагрузки сделан лог с помощью GMER

[thyrex]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится 7kof425y.exe (gmer)

7kof425y.exe -del service rrcjqibbt
7kof425y.exe -del file "C:\WINDOWS\system32\isetcw.dll"
7kof425y.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rrcjqibbt"
7kof425y.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\rrcjqibbt"
7kof425y.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\rrcjqibbt"
7kof425y.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

Это тоже было для Вас

Сделайте новые логи.

[Alex_Goodwin]

+ это попробуйте http://www.secureblog.info/files/TDSSKiller.rar

[desa]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится 7kof425y.exe (gmer)

7kof425y.exe -del service rrcjqibbt
7kof425y.exe -del file "C:\WINDOWS\system32\isetcw.dll"
7kof425y.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rrcjqibbt"
7kof425y.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\rrcjqibbt"
7kof425y.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\rrcjqibbt"
7kof425y.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

Это тоже было для Вас

батник прошел с двумя ошибками после перезагрузки
угроза сохранилась сейчас просканируется прикреплю новые логи

Добавлено через 40 секунд

+ это попробуйте http://www.secureblog.info/files/TDSSKiller.rar

после запуска килера и нажатия любой клавиши просто закрывается и все...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\user\главное меню\программы\автозагрузка\sysupd32.exe - Trojan-Dropper.Win32.Small.edb ( DrWEB: Trojan.DownLoad1.4576, AVAST4: Win32:Small-NDA [Trj] )
  2. c:\windows\system32\chknt32.exe - Trojan-Downloader.Win32.Agent.cvkd ( DrWEB: Trojan.PWS.Webmonier.178 )
  3. c:\windows\system32\photo_id.exe - Backdoor.Win32.HareBot.akj ( DrWEB: Trojan.DownLoad.41506, NOD32: Win32/Wigon.LX trojan )