Помогите! cureit и avptool не справились!

[alextim2]

Здравствуйте.
Началосб все с того, что установленная на компе Avira при загрузке системы стала ругаться на Hijacker.Gen и на файл atapi.sys. Удалили файл atapi.sys - винда вообще грузится перестала, переустановили винду поверх, зашли в безопасный режим, провели сканирование утилитой Cureit - ничего не нашла, просканировали утилитой AVPTool - нашла проблемы в виде файлов photo_id.exe и wind7upd.exe и вроде как устранила их. Запустили винду в обычном режиме - все вроде нормально и Avira не ругается. Подключили инет - и началось все сначала и все тоже самое. Помогите

[Bratez]

1. Проверьтесь этой утилитой:
http://www.secureblog.info/files/TDSSKiller.rar

2. Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Kasir1\mew.exe','');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
 QuarantineFile('C:\WINDOWS\system32\av_md.exe','');
 QuarantineFile('C:\Documents and Settings\Kasir1\av_md.exe','');
 QuarantineFile('C:\Documents and Settings\Kasir1\photo_id.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\ensqio.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\gcegogce.sys','');
 QuarantineFile('C:\WINDOWS\wind7upd.exe','');
 QuarantineFile('C:\WINDOWS\system32\wuaucIt.exe','');
 QuarantineFile('C:\WINDOWS\system32\photo_id.exe','');
 QuarantineFile('C:\DOCUME~1\Kasir1\LOCALS~1\Temp\BN1.tmp','');
 DeleteFile('C:\DOCUME~1\Kasir1\LOCALS~1\Temp\BN1.tmp');
 DeleteFile('C:\WINDOWS\system32\photo_id.exe');
 DeleteFile('C:\WINDOWS\system32\wuaucIt.exe');
 DeleteFile('C:\WINDOWS\wind7upd.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\gcegogce.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\ensqio.sys');
 DeleteFile('C:\Documents and Settings\Kasir1\photo_id.exe');
 DeleteFile('C:\Documents and Settings\Kasir1\av_md.exe');
 DeleteFile('C:\WINDOWS\system32\av_md.exe');
 DeleteFile('C:\WINDOWS\system32\csrcs.exe');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 DeleteFile('C:\Documents and Settings\Kasir1\mew.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

3. Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=61686).

4. Сделайте новые логи.

[alextim2]

проверил утилитой http://www.secureblog.info/files/TDSSKiller.rar
она ничего не нашла, карантин выслал, высылаю новые логи

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile('C:\Documents and Settings\Kasir1\pquebbe.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\zkxsvhye.sys','');
 QuarantineFile('C:\WINDOWS\TEMP\BN3.tmp','');
 DeleteFile('C:\WINDOWS\TEMP\BN3.tmp');
 DeleteFile('C:\WINDOWS\wind7upd.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\zkxsvhye.sys');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 DeleteFile('C:\Documents and Settings\Kasir1\pquebbe.exe');
 DeleteFileMask('C:\WINDOWS\TEMP', '*.*', true);
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('zkxsvhye');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[alextim2]

карантин отправил, высылаю новые логи:

[Bratez]

Запустите компьютер в безопасном режиме.
Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\wind7upd.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\wind7upd.exe

Не перезагружаясь, сразу же выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\TEMP\BN4.tmp');
 DeleteFile('C:\WINDOWS\wind7upd.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[alextim2]

новые логи:

[Bratez]

Хм... Он опять на месте!
Придется вам скачать DrWeb LiveCD и пролечиться им. Довольно долго, зато надежно. В его базах ваши зловреды есть, так что результат должен быть 100%.

[alextim2]

а в безопасном режиме cureit-ом не пойдет?

[Bratez]

Может и пойдет, только свежий скачайте, а то вы же сами писали:

провели сканирование утилитой Cureit - ничего не нашла

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 39
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\kasir1\av_md.exe - Backdoor.Win32.HareBot.aln ( DrWEB: Trojan.Inject.7433 )
  2. c:\documents and settings\kasir1\photo_id.exe - Trojan.Win32.Inject.alsl ( DrWEB: Trojan.Inject.7422, BitDefender: Trojan.Generic.2793846, AVAST4: Win32:Rootkit-gen [Rtk] )
  3. c:\documents and settings\kasir1\pquebbe.exe - Backdoor.Win32.Inject.cvj ( DrWEB: BackDoor.Tofsee, BitDefender: Trojan.Inject.WA, AVAST4: Win32:Rootkit-gen [Rtk] )
  4. c:\docume~1\kasir1\locals~1\temp\bn1.tmp - Backdoor.Win32.Emegrab.e ( DrWEB: BackDoor.Siggen.3862, BitDefender: Trojan.Generic.2717295, AVAST4: Win32:Agent-PTI [Trj] )
  5. c:\windows\system32\av_md.exe - Backdoor.Win32.HareBot.aln ( DrWEB: Trojan.Inject.7433 )
  6. c:\windows\system32\photo_id.exe - Trojan.Win32.Inject.alsl ( DrWEB: Trojan.Inject.7422, BitDefender: Trojan.Generic.2793846, AVAST4: Win32:Rootkit-gen [Rtk] )
  7. c:\windows\temp\bn3.tmp - Backdoor.Win32.Emegrab.e ( DrWEB: BackDoor.Siggen.3862, BitDefender: Trojan.Generic.2717295, AVAST4: Win32:Agent-PTI [Trj] )
  8. c:\windows\wind7upd.exe - Trojan.Win32.Buzus.cqjn ( DrWEB: BackDoor.IRC.Bot.157, BitDefender: Trojan.Generic.2791083, AVAST4: Win32:Malware-gen )