вирус Worm.Win32.FlayStudio

[tim--ka]

Помогите вылечить вирус Worm.Win32.FlayStudio.
ранее тема создавалась но ее закрыли http://virusinfo.info/showthread.php?t=58964
во вложение архив с карантином.
[moderated: карантин в тему прикреплять нельзя!]

[Bratez]

Сделайте логи в соответствии с правилами:
http://virusinfo.info/showthread.php?t=1235

[tim--ka]

перезалил карантин, создал по правилам

[pig]

Логи будут?

[tim--ka]

Карантин это не логи?

[pig]

Нет. Агнцы отдельно, козлища отдельно.

[tim--ka]

сразу бы сказали што карантин не нужен, и то што в той теме прописано делать не надо. а начать все самого начала.
короче не важно. сделал логи он и во вложении.
извиняюсь за недопонимание.

[Bratez]

Подключите свои съемные носители (флэшка, плеер и т.п.) и оставьте подключенными до конца лечения.

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\559D4D\64E95A.EXE','');
 QuarantineFile('C:\WINDOWS\system32\C6625A\ZC-8E63B.EXE','');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\cnvpe.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\dp1.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\HtmlView.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\internet.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\krnln.fnr');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\RegEx.fnr');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\eAPI.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\shell.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\spec.fne');
 DeleteFile('C:\WINDOWS\system32\C6625A\dp1.fne');
 DeleteFile('C:\WINDOWS\system32\C6625A\eAPI.fne');
 DeleteFile('C:\WINDOWS\system32\C6625A\krnln.fnr');
 DeleteFile('C:\WINDOWS\system32\C6625A\shell.fne');
 DeleteFile('C:\WINDOWS\system32\C6625A\ZC-8E63B.EXE');
 DeleteFile('C:\WINDOWS\system32\559D4D\64E95A.EXE');
 DeleteFile('C:\WINDOWS\innounp.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\Bonjour Service','EventMessageFile');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=63319).

Обновите базы AVZ и сделайте новые логи.

[tim--ka]

логи во вложении, карантин по ссылке в шапке

[snifer67]

Чисто.Что с проблемой ?

Установите Internet Explorer 8

[tim--ka]

проблема та же.
но еще не обновлял IE, это обязательно?

Добавлено через 1 час 47 минут

так же еще вылезает окно при загрузке, в котором написано непонятными символами. единственное что можно разобрать это: http://dywt.com.cn.
предлагает нажать ОК, нажимаешь окно исчезает и вроде как ничего не меняется. можно как-то убрать это окно?

[Bratez]

Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

Я же просил обновить!
Логи делались с подключенной флэшкой?
Обновите базы AVZ и сделайте заново.

Уточните, в чем проявляется

проблема та же.

[tim--ka]

новые логи во вложении.
да с флешками.
проявления такие:
постоянно вылазит ошибка о котором отписывал в предыдущем посте.
открываеться окно в експлоере на какойто китайский сайт с иероглифами
и нод постоянно ругаеться по этой ошибке Worm.Win32.FlayStudio, чтото изолирует и удаляет.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\dp1.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\eAPI.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\HtmlView.fne');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\krnln.fnr');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\RegEx.fnr');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\E_N4\shell.fne');
 DeleteFile('C:\WINDOWS\system32\559D4D\64E95A.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[tim--ka]

сделано.

[Bratez]

Чисто. Надеюсь, проблема решена?
Обновите базы своему Ноду, а то он что-то мышей не ловит

[tim--ka]

Вроде как проблема решена, надеюсь не повторится.
нод поставил наконец то четвертый, надеюсь он будет более полезен.
Спасибо огромное Вам!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 48
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\c6625a\zc-8e63b.exe - not-a-virus:AdWare.Win32.FlyStudio.l
  2. c:\windows\system32\559d4d\64e95a.exe - Trojan-Downloader.Win32.FlyStudio.gz ( DrWEB: Win32.HLLW.Autoruner.4360, BitDefender: Dropped:Trojan.Generic.1619522 )