Длинный лог

[VK_]

Один из коллег жаловался на свой домашний компьютер, дал ему на флэшке AVZ, попросил выполнит скрипт, комментарии как говорится излишни, лог прилагается

[Bratez]

Отключите восстановление системы!
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
 DeleteFile('C:\WINDOWS\system32\csrcs.exe');
 DeleteFile('C:\mlburmh.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\mlburmh.exe');
 DeleteFile('H:\autorun.inf');
 DeleteFile('H:\diwqfz.exe');
BC_ImportALL;
ExecuteSysClean;
 BC_DeleteSvc('klstm');
 BC_DeleteSvc('ids00026');
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=63784).
Сделайте новые логи (все три по правилам).

[VK_]

КАРАНТИН

Файл сохранён как 091228_103313_virus_4b385f393c9ac.zip
Размер файла 1745972
MD5 c1b76db4cbf93c7f3b57b50820a29360

[snifer67]

Сделайте новые логи (все три по правилам).

[VK_]

логи после выполнения лечения

[VK_]

вот, самые последние логи, только AVZ, hijackthis не запускается, и в безопасный режим войти не могу - перегружается . Видимо придётся просить у хозяина санкцию на переустановку Windows

[VK_]

логи

[snifer67]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\mlburmh.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(10);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

[VK_]

свежий карантин, логи в процессе
Файл сохранён как 091228_131032_virus_4b388418139bb.zip
Размер файла 1550573
MD5 f317f7a0d292e65e43eefa3dcb288d7f

[VK_]

похоже без изменений

[snifer67]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(19);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Сделайте новые логи.

[VK_]

довтыкался с флэшкой... он и ко мне на комп прописался:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Explorer\MountPoints2\{82acf82f-e2fa-11de-8dd2-0002b306c169}\shell\open\Command\mlburmh.exe

[snifer67]

Вставте все сьемные носители, сделайте логи avz.

[VK_]

вот последние логи

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('C:\WINDOWS\system32\IMES.dll','');
DeleteFile('C:\WINDOWS\system32\IMES.dll');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\mlburmh.exe','');
 DeleteFile('C:\mlburmh.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\mlburmh.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ
Сделайте новые логи

[VK_]

карантин:
Файл сохранён как 091229_141050_virus_4b39e3bae7322.zip
Размер файла 1405722
MD5 52cb95c82bd31c0a17e3efa42b9378af

[VK_]

логи

[Bratez]

В логах все нормально.
Что с проблемами?

[VK_]

похоже излечился, но что то подозрительное есть, например не видны системные и скрытые файлы, в свойствах папки установлено показывать их

[thyrex]

Выполните скрипт в AVZ

begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1); 
RebootWindows(true);
end.

Компьютер перезагрузится.

Проверяйте показ скрытых файлов