Червь Worm.Win32.VBNA.b (вроде)

[EugenyTheLightYear]

Создает клоны ехешников, наполняет систему троянами, вешает инет, создает непонятные процессы типа подключения мобильника по USB...находится Kaspersky Virus Removal Tools и CureIt!, удаляется, но позже вся канитель повторяется.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 QuarantineFile('c:\windows\system32\msvmiode.exe','');
 DeleteFile('c:\windows\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[EugenyTheLightYear]

Все сделал, карантин отправил. Жду дальнейших указаний.

[DefesT]

Сделайте новые логи

вот

[EugenyTheLightYear]

Логи чего? AVZ?

[EugenyTheLightYear]

Вот AVZ-шные, hiJack-шные нет смысла слать, наверное...

[EugenyTheLightYear]

...мне все еще нужна помощь...выручайте, товарищи спецы...

[DefesT]

Закройте все программы, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 DeleteFile('c:\windows\system32\msvmiode.exe');
 DeleteFile('C:\WINDOWS\wndrive32.exe');
 BC_DeleteFile('c:\windows\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Скачайте файл ScanVuln.txt, скопируйте из него скрипт и выполните в AVZ. Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Сделайте новые логи по правилам

[thyrex]

Логи выложили старые

Переделать

[EugenyTheLightYear]

Прошу пардонить за старые логи...вот после первого скрипта:

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\78.exe','');
 QuarantineFile('C:\WINDOWS\system32\57.exe','');
 QuarantineFile('C:\WINDOWS\system32\23.exe','');
 QuarantineFile('C:\WINDOWS\system32\57.scr','');
 QuarantineFile('C:\WINDOWS\system32\53.exe','');
 QuarantineFile('C:\WINDOWS\system32\62.scr','');
 QuarantineFile('C:\WINDOWS\system32\64.scr','');
 QuarantineFile('C:\WINDOWS\system32\43.scr','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-2828425090-4430973677-703778076-1768\syscr.exe','');
 QuarantineFile('c:\windows\system32\scvdll.exe','');
 TerminateProcessByName('c:\windows\system32\msvmiode.exe');
 QuarantineFile('c:\windows\system32\74.exe','');
 TerminateProcessByName('c:\windows\system32\74.exe');
 QuarantineFile('c:\windows\system32\67.exe','');
 TerminateProcessByName('c:\windows\system32\67.exe');
 QuarantineFile('c:\windows\system32\43.exe','');
 TerminateProcessByName('c:\windows\system32\43.exe');
 DeleteFile('c:\windows\system32\43.exe');
 DeleteFile('c:\windows\system32\67.exe');
 DeleteFile('c:\windows\system32\74.exe');
 DeleteFile('c:\windows\system32\msvmiode.exe');
 DeleteFile('c:\windows\system32\scvdll.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-2828425090-4430973677-703778076-1768\syscr.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','taskman');
 DeleteFile('C:\WINDOWS\system32\43.scr');
 DeleteFile('C:\WINDOWS\system32\64.scr');
 DeleteFile('C:\WINDOWS\system32\62.scr');
 DeleteFile('C:\WINDOWS\system32\53.exe');
 DeleteFile('C:\WINDOWS\system32\57.scr');
 DeleteFile('C:\WINDOWS\system32\23.exe');
 DeleteFile('C:\WINDOWS\system32\57.exe');
 DeleteFile('C:\WINDOWS\system32\78.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
  BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.1-3 раздела Диагностика.( virusinfo_syscure.zip; virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог MBAM

[thyrex]

И такой лог сделайте http://virusinfo.info/showpost.php?p=493610&postcount=1

[EugenyTheLightYear]

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.1-3 раздела Диагностика.( virusinfo_syscure.zip; virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог MBAM[/QUOTE]

Вот как-то так:

[EugenyTheLightYear]

И такой лог сделайте http://virusinfo.info/showpost.php?p=493610&postcount=1

И так:

[thyrex]

Удалите в МВАМ все, кроме

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Зараженные файлы:
D:\Games\David Douillet Judo\tech.dll (Backdoor.Bot) -> No action taken.
D:\Дистрибутивы\Winamp Pro 5.21\Winamp-keygen.exe (Trojan.Agent) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\AB COMMANDER XP EDITION 6.93 WIN32\KEYGEN.EXE (Trojan.Downloader) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\AHEAD NERO BURNING ROM V8.1.1.3\NERO8KEYGEN.EXE (Trojan.Downloader) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\CORELDRAW GRAPHICS SUITE X4 V14.0.0.567 RUS\KEYGEN.EXE (Trojan.Agent.CK) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\DIVX PRO (INCL. DIVX PLAYER) 6.7.0.28\KEYMAKER.EXE (Malware.Packer) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\WINRAR 3.71 RU\PATCH.EXE (Trojan.Patcher) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\SYMANTEC NORTON GHOST 14.0\KEYGEN.EXE (Spyware.OnlineGames) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\REGISTRY WORKSHOP V3.0.0.0\REGISTRY.WORKSHOP.3.0.0.0-ISMAIL.EXE (Trojan.Downloader) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\ONTRACK EASYRECOVERY PRO 6.10.07\EASYRECOVERYPRO-6.10.EXE (Trojan.Dropper) -> No action taken.
D:\Дистрибутивы\WindowsXP+Soft\SOFT\FRESH UI 7.97\KEYGEN.EXE (Trojan.Downloader) -> No action taken.

Сделайте новый лог МВАМ

[EugenyTheLightYear]

Кажется полегчало:

[thyrex]

Выполните скрипт в AVZ

begin
ExecuteRepair(13);
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip

Установите Internet Explorer 8 (даже если им не пользуетесь)

[EugenyTheLightYear]

Если не секрет: а зачем мне этот бестолковый выкидыш Большого Папочки? =) (вопрос из любопытства, хотя покорно скачал и установил).

Лог прицепом:

[thyrex]

зачем мне этот бестолковый выкидыш Большого Папочки?

Ввиду тесной интеграции IE в систему установка новых версий способствует повышению безопасности системы в целом

В логе порядок

[EugenyTheLightYear]

Всем спасибо за помощь, впредь буду разборчивей в связях