Троян не дает работать.

[Sibirian]

Доброго дня любимому сайту и его работникам, которые несмотря на лето и жару с нами .
Троян блокировал НЕТ и локальную сеть - обновить АВЗ нет пока возможности, посмотрите логи пока не обновленным? Выкладываю согласно Правил.

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\instmiv.exe');                                                                 
 QuarantineFile('F:\Setup.exe','');
 QuarantineFile('1.exe','');
 QuarantineFile('c:\windows\system32\instmiv.exe','');
 QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
 DeleteFile('C:\WINDOWS\system32\csrcs.exe');
 DeleteFile('c:\windows\system32\instmiv.exe');  
 DelAutorunByFileName('C:\WINDOWS\system32\Instmiv.exe'); 
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Пробуйте обновиться, причём не просто обновиться, а скачать новую версию АВЗ - http://z-oleg.com/secur/avz/download.php + обновить базы и сделать новые логи.

[Sibirian]

Выложен карантин с результатом:
Результат загрузки

Файл сохранён как100729_093831_virus_4c5113d737cba.zipРазмер файла560609MD5e6bbeda760c91fa8786bac2ce6704892

Пробую переустановить сеть и модем... Пока не работают...

[olejah]

Если у Вас не установленны собственные политики ограничения попробуем так -

Выполните скрипт в АВЗ -

begin
 ExecuteRepair(6);
 RebootWindows(true);
end.

Компьютер перезагрузится.

- Попробуйте скачать АВЗ, если никак, то сделайте новые логи.

[Sibirian]

Увы, не получается - отвалился НЕТ качественно... Так с флешкой и бегаю - выкладываю с необновленного АВЗ, сорри...

[Sibirian]

Ап...

Добавлено через 1 час 8 минут

Еще разочек вверх, если можно...

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('G:\autorun.inf','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\autorun.inf','');
 TerminateProcessByName('c:\program files\common files\adobearms.exe');
 QuarantineFile('c:\program files\common files\adobearms.exe','');
 DeleteFile('c:\program files\common files\adobearms.exe');
 DeleteFile('1.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('G:\autorun.inf');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- скачайте новую версию AVZ - 4.34
- обновите базы AVZ
- Переделайте логи virusinfo_syscure.zip и virusinfo_syscheck.zip

[Sibirian]

Карантин выложил - вроде, у нас штормовое предупреждение, свет мигает - при загрузке был обрыв питания, не могу определить, закачал или нет. При попытке перезалить - "файл был закачан".

[polword]

- скачайте новую версию AVZ - 4.34
- обновите базы AVZ
- Переделайте логи virusinfo_syscure.zip и virusinfo_syscheck.zip

попробуйте теперь сделать это.

[Sibirian]

Выполнено - АВЗ скачал, обновить базы только нет возможности - тк НЕТ слетел. Выкладываю логи.

[polword]

- Сделайте лог Gmer

[Sibirian]

Прошу прощения за длинную паузу - горят леса в округе, выключали электроэнергию. Лог ГМЕР выкладываю.

[olejah]

- Сохраните текст ниже как 1.bat в ту же папку, где находится ovd0yx3h.exe(GMER) и запустите этот батник(1.bat):

ovd0yx3h.exe -del service tzsuuz
ovd0yx3h.exe -del file "C:\WINDOWS\system32\wdmacsb.dll"
ovd0yx3h.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tzsuuz"
ovd0yx3h.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tzsuuz"
ovd0yx3h.exe -reboot

Компьютер перезагрузится.

После перезагрузки:
- Сделайте повторные логи АВЗ
- Сделайте новый лог Gmer

[Sibirian]

Выполнено - выкладываю.

[olejah]

G:\autorun.inf - авторан Ваш или чужой? G - флешка?

Добавлено через 40 секунд

Внимание !!! База поcледний раз обновлялась 08.07.2010 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

- Нужно обновить базы. Переделать логи.

[Sibirian]

Авторан - флешка, установил СП3 - НЕТ должен восстановиться - сейчас обновлюсь.

[Sibirian]

Выполнено - логи после обновления.

[olejah]

Как сейчас состояние у пациента?

[Sibirian]

Cкорее жив, чем мертв !

СПАСИБО - в логах чисто?

[olejah]

Я плохого не вижу, но можно сделать лог MBAM