Появление вируса после лечения, блокирование сайта Drweb, запуск AVZ, CureIT

[Lancelotru]

Вирус удалил с помощью livecd Drweb. AVZ и CureIT запускается вирусов не находит. Долгая загрузка копьютера.
Появляется в загрузке
UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDO WS\system32\8f5423d3.exe,C:\WINDOWS\system32\skncy o.exe,

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
  QuarantineFile('C:\Program Files\usb_anti_autorun\usb.wsf','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\fdc.sys','');
 DeleteService('Secdrv');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\afd.sys','');
 QuarantineFile('c:\windows\xerox\panelmgr\ssmmgr.exe','');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(20);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Скачайте RSIT тут. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
- Сделайте лог MBAM

[Lancelotru]

Скрипты выполнил, вроде загружатся стал быстрее.
Новые логи.

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\drivers\aec.sys','');
 QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
 DeleteFile('C:\Program Files\Common Files\keylog.txt');
 QuarantineFile('C:\WINDOWS\system32\drivers\aec.sys.bak','');
 DeleteFileMask('C:\Program Files\Common Files\wm', '*.*', true);
 DeleteDirectory('C:\Program Files\Common Files\wm');
 QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

[Lancelotru]

Все выполнено, карантин отправил.

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
 QuarantineFile('C:\WINDOWS\system32\mssfc.dll','');
 DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
 DeleteFile('C:\WINDOWS\system32\mssfc.dll');
 BC_ImportALL;
 ExecuteSysClean;
 BC_DeleteSvc('sfc');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Сделайте повторный лог RSIT

[Lancelotru]

выполнено, карантин отправлен.

[polword]

выполните еще раз скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS\system32\mssfc.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('sfc');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог RSIT

[Lancelotru]

Выполнено, лог выслал только поставились обновления на windows. Возможно сильное изменение файлов

[polword]

теперь чисто

Добавлено через 40 секунд

- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут

[Lancelotru]

Спасибо.
Internet-Explorer 8 стоит, поставил последние обновления.
Теперь займусь следующим компутером.

[polword]

Теперь займусь следующим компутером.

логи с него, если понадобится - в новую тему

[Lancelotru]

polword,
хорошо, сейчас попробую сделать. только там вирус блокирует AVZ и CureIT

[polword]

- попробуйте сделать логи таким AVZ

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 29
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\usb_anti_autorun\\usb.wsf - Worm.VBS.VirusProtection.c ( DrWEB: VBS.Autoruner.103, BitDefender: Generic.ScriptWorm.0868D3ED, AVAST4: VBS:VirusProtection-C )