Букет вирусов на ноутбуке

[popusta]

1. Файлы ".exe из цифр в списке процессов.
2. ESS 3.0.695 после установки удаляет эти файлы, но сам повреждается после после первой же перезагрузки, и приходится его переустанавливать.
3. Пока NOD32 функционирует, при подключении к Интернету он блокирует некоторые ссылки. Обновить базы антивируса не получается.
4. DrWeb тоже что-то удаляет, но странные файлы типа csrsc.exe остаются в памяти.
5. Компьютер периодически зависает в непредсказуемый момент.

[vegas]

ОТКЛЮЧИТЕ ВОССТАНОВЛЕНИЕ СИСТЕМЫ !
Выполните скрипт

begin
 SearchRootkit(true,true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\EZ3EBOSKUT\F001.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\pcidump.sys','');
 QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\UM5NXX0P\F001[1].exe','');
 QuarantineFile('Explorer.exe    C:\WINDOWS\csrsc.exe','');
 QuarantineFile('C:\WINDOWS\system32\scvhost.exe','');
 QuarantineFile('C:\WINDOWS\system32\anitsvstart.dll','');
 QuarantineFile('C:\WINDOWS\system32\RbmutvC.dll','');
 QuarantineFile('C:\WINDOWS\system32\BrZPoUlsGvb.dll','');
 QuarantineFile('C:\WINDOWS\System32\logon.scr','');
 StopService('acpi24');
 StopService('frrd');
 DeleteService('acpi24Drv');
 QuarantineFile('C:\WINDOWS\system32\acpi24.sys','');
 DeleteService('vsr');
 QuarantineFile('C:\WINDOWS\system32\WMAGWRMEJC\eoo1.exe','');
 DeleteService('vsfd');
 QuarantineFile('C:\WINDOWS\system32\WMAGWRMEJC\F001.exe','');
 DeleteService('vsd');
 QuarantineFile('C:\WINDOWS\system32\WMAGWRMEJC\J002.exe','');
 DeleteService('VMservices');
 QuarantineFile('C:\WINDOWS\system32\panp.exe','');
 DeleteService('acpi24');
 QuarantineFile('C:\WINDOWS\system32\acpi24.exe','');
 DeleteService('frrd');
 QuarantineFile('C:\WINDOWS\system32\z\B7878.exe','');
 QuarantineFile('c:\windows\system32\brzpoulsgvb.dll','');
 QuarantineFile('c:\windows\system32\anitsvstart.dll','');
 QuarantineFile('c:\windows\system32\gctwimaxserviced.exe','');
 QuarantineFile('c:\windows\csrsc.exe','');
 TerminateProcessByName('c:\windows\csrsc.exe');
 QuarantineFile('c:\windows\system32\z\b7878.exe','');
 TerminateProcessByName('c:\windows\system32\z\b7878.exe');
 QuarantineFile('c:\windows\system32\77734.exe','');
 TerminateProcessByName('c:\windows\system32\77734.exe');
 DeleteFile('c:\windows\system32\77734.exe');
 DeleteFile('c:\windows\system32\z\b7878.exe');
 DeleteFile('c:\windows\csrsc.exe');
 DeleteFile('c:\windows\system32\anitsvstart.dll');
 DeleteFile('c:\windows\system32\brzpoulsgvb.dll');
 DeleteFile('C:\WINDOWS\system32\z\B7878.exe');
 DeleteFile('C:\WINDOWS\system32\acpi24.exe');
 DeleteFile('C:\WINDOWS\system32\panp.exe');
 DeleteFile('C:\WINDOWS\system32\WMAGWRMEJC\J002.exe');
 DeleteFile('C:\WINDOWS\system32\WMAGWRMEJC\eoo1.exe');
 DeleteFile('C:\WINDOWS\system32\acpi24.sys');
 DeleteFile('C:\WINDOWS\system32\BrZPoUlsGvb.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ufad-dns60\Parameters','ServiceDll');
 DeleteFile('C:\WINDOWS\system32\RbmutvC.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\MediaCenter\Parameters','ServiceDll');
 DeleteFile('C:\WINDOWS\system32\anitsvstart.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\AniSrv\Parameters','ServiceDll');
 DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\UM5NXX0P\F001[1].exe');
 DeleteFile('C:\WINDOWS\system32\drivers\pcidump.sys');
 DeleteFile('C:\WINDOWS\system32\EZ3EBOSKUT\F001.exe');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 ExecuteWizard('SCU', 2, 2, true);
 RebootWindows(true);
end.

После перезагрузки выполните второй скрипт

Begin
CreateQurantineArchive('C:\quarantine.zip');
End.

Закачайте полученный карантин по красной ссылке вверху. Повторите логи

[popusta]

Извините, протупил с отключением восстановления системы.
После применения основного скрипта "ехе-файл с цифрами" в списке процессов опять появился.
Карантин закачал, получили?
Новые логи во вложениях.

[popusta]

И еще, Nod32 по-прежнему "слетает" после перезагрузки, а в трэе не появляется "регулятор аудио" и "настройка аудио".
Проверка DrWeb удаляет кучу "цифровых" ехешников в C:\Windows\System32 с Trojan DownLoader1.1999, еще и какой-то fusou.exe там появился.

[thyrex]

Сделайте лог http://virusinfo.info/showpost.php?p=493610&postcount=1

[popusta]

Лог во вложении.
Система вроде ожила - сказала об отключенном обновлении, в трэе прорисовались все значки.
Попробую снова установить Нод32...

[vegas]

Лог virusinfo_syscheck повторите

[thyrex]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\msn281.exe
c:\windows\system32\svstn.exe
c:\windows\system32\YbTMadAWBGMVIA.dll
c:\windows\system32\kSUmGHphvgMNVGV.dll
c:\windows\system32\UwXsJknqGiHYq.dll
c:\windows\system32\anitsclib.dll
c:\windows\system32\WMAGWRMEJC\F001.exe

Driver::
vsfd
AniSrv

Folder::
c:\windows\system32\EZ3EBOSKUT
c:\windows\system32\JOJKKG2ENK
c:\windows\system32\1T6K0JT7QN
c:\windows\system32\WMAGWRMEJC
c:\windows\system32\z

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"AniSrv"=-
"Kernels"=-

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[popusta]

Последние логи во вложении.
Система вроде работает устойчиво.
Nod32 установился и не слетает - попробую обновить его базы.

[thyrex]

Скрипт для ComboFix из сообщения №8 почему не выполнили?
Выполните в обязательном порядке

[popusta]

Скрипт для ComboFix из сообщения №8 почему не выполнили?
Выполните в обязательном порядке

Как же не выполнил? Как раз выполнил. Так всё красиво наложилось и сработало В сообщении №10 я прикреплял именно новый лог, который создан в 23:01:34:
"Command switches used :: c:\documents and settings\Администратор\Рабочий стол\CFScript.txt" - у меня все хода записаны ))

Предыдущий лог был в 21:50.
Уточните, где моя ошибка )

[thyrex]

Повторите еще раз рекомендацию из сообщения №8

[popusta]

Повторите еще раз рекомендацию из сообщения №8

Кажется, получилось.

[thyrex]

Вот теперь другое дело

Запакуйте, пожалуйста, папку C:\Qoobox с паролем virus и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.

Удалите ComboFix

Пофиксите в HiJack

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.apeha.ru

Обновите JavaRE

Если проблем не осталось, выписываем Вас из лазарета

[popusta]

Мыло отправил. Получилось приличное вложение - порядка 5 Мб.

ComboFix удалил, в HJ строку пофиксил, Java обновил.

Всё работает, спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 54
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\localservice\local settings\temporary internet files\content.ie5\um5nxx0p\f001[1].exe - Backdoor.Win32.Krafcot.ov ( DrWEB: Trojan.DownLoad.50456, BitDefender: Trojan.Rincux.AW, AVAST4: Win32:Malware-gen )
  2. c:\windows\csrsc.exe - Trojan-Downloader.Win32.Agent.dldf ( DrWEB: Trojan.DownLoad1.54291, BitDefender: Trojan.Generic.3653357, AVAST4: Win32:Malware-gen )
  3. c:\windows\system32\anitsvstart.dll - Trojan-Downloader.Win32.Agent.dljj ( DrWEB: Trojan.DownLoader1.5889, BitDefender: DeepScan:Generic.Peed.A4838A1A )
  4. c:\windows\system32\brzpoulsgvb.dll - Trojan.Win32.Veslorn.uw
  5. c:\windows\system32\ez3eboskut\f001.exe - Backdoor.Win32.Krafcot.ov ( DrWEB: Trojan.DownLoad.50456, BitDefender: Trojan.Rincux.AW, AVAST4: Win32:Malware-gen )
  6. c:\windows\system32\scvhost.exe - Trojan.Win32.KillAV.gca ( BitDefender: Trojan.Generic.KD.7039, AVAST4: Win32:Malware-gen )
  7. c:\windows\system32\z\b7878.exe - Trojan.Win32.Scar.bznj ( DrWEB: Trojan.DownLoad1.53651, BitDefender: Trojan.Rincux.AW, AVAST4: Win32:Malware-gen )
  8. c:\windows\system32\77734.exe - Trojan-Downloader.Win32.Geral.pzo ( DrWEB: Trojan.DownLoader1.1999, BitDefender: Trojan.Downloader.Agent.ZAW, AVAST4: Win32:Agent-AEVX [Trj] )