Странная зараза

[swxth]

Подозрение возникло после того как перестали запускаться некоторые программы. Затем проверил AVPTool, он нашел какую-то заразу в файле Player[1] - удалил. Но проблема не решилась. Затем проверил в безопасном режиме - он отметил некоторые файлы, но лечить или удалять их не стал. Проверился CureIt'ом - он ничего не нашел. Поэтому прошу Вас помочь избавиться, поскольку проблема так и не решилась.

[PavelA]

Platform: Windows XP SP2 (WinNT 5.01.2600) -- с этим будете постоянным посетителем.
Профиксить:

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\oembios.exe,
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\oembios.exe','');
 QuarantineFile('\Device\HarddiskVolume1\DOCUME~1\salim\LOCALS~1\Temp\RarSFX0\9vtmmxp.exe','');
 DeleteFile('\Device\HarddiskVolume1\DOCUME~1\salim\LOCALS~1\Temp\RarSFX0\9vtmmxp.exe');
 DeleteFile('C:\WINDOWS\system32\oembios.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать карантин по Правилам.
Сделать заново логи.

[swxth]

Пофиксил, карантин не получилось отправить поскольку файла не было (сам не понял почему так).
Плюс меня смущает
3. Сканирование дисков
Прямое чтение C:\Documents and Settings\All Users\Application Data\AVG Security Toolbar\IEToolbar.dll
Прямое чтение C:\Documents and Settings\ant\Application Data\Adobe\Acrobat\7.0\Updater\udstore.js
Прямое чтение C:\Documents and Settings\ant\Application Data\Macromedia\Flash Player\www.macromedia.com\bin\fpupdateax\fpupdateax.exe
Прямое чтение C:\Documents and Settings\ant\Application Data\Microsoft\Installer\{0C5720B0-0624-4DF7-A32B-877523BDC614}\grym.exe
Прямое чтение C:\Documents and Settings\ant\Application Data\Microsoft\Office\fbc37.tmp
Прямое чтение C:\Documents and Settings\ant\Application Data\Mozilla\Firefox\Profiles\8dqzt4xb.default\boo kmarks.html
Прямое чтение C:\Documents and Settings\ant\Application Data\OpenOffice.org2\user\registry\data\org\openof fice\Office\Common.xcu.bak
Прямое чтение C:\Documents and Settings\ant\Application Data\Sun\Java\Deployment\cache\javapi\v1.0\jar\cli ent2011.jar-4fd787f6-24dd392f.zip
Прямое чтение C:\Documents and Settings\ant\Application Data\Sun\Java\Deployment\cache\javapi\v1.0\jar\mak ekeys2011.jar-3a9d5a4d-76962422.zip
Прямое чтение C:\Documents and Settings\ant\Local Settings\Application Data\{7148F0A6-6813-11D6-A77B-00B0D0142060}\Java 2 Runtime Environment, SE v1.4.2_06.msi
Прямое чтение C:\Documents and Settings\ant\Local Settings\Temp\dc20611784\l3la49.exe

Новые логи

[PavelA]

"прямое чтение" не всегда зловреды, это просто заблокированные файлы.
Выполнить:

begin
SearchRootkit(true, true);
QuarantineFile('C:\Documents and Settings\ant\Local Settings\Temp\dc20611784\l3la49.exe','');
BC_ImportAll;
RebootWindows(true);
end.

Пришлите карантин, если что-то попадет.

[swxth]

Карантин загружен:
Файл сохранён как 100114_131704_virus_4b4eef206a496.zip
Размер файла 60454
MD5 53ada48d2d3634bd4adb4ffabeaba6eb

[PavelA]

Файл чистый от Доктора Веба.

[swxth]

Большое спасибо! Вроде все работает, кроме одной программы видеонаблюдения ((

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены