wmvstat.dll confwmv.dll mprwanp.exe появляются снова после многократного удаления

[DiMacho]

Прошу помочь вылечить комп от вирусов.
все согласно инструкции выполнял:
Все отключил - nod32, брандмауэр, обновление системы, отключал сетевой кабель интернета.

В программе hijackthis удалил строку:
O20 - AppInit_DLLs: e1.dll confatm.dll atmstat.dll ccfgwshb.dll confwmv.dll wmvstat.dll так как в предварительных проверках AVZ писала что имеется "Подозрение на скрытую загрузку библиотек через AppInit_DLLs: "e1.dll confatm.dll atmstat.dll ccfgwshb.dll confwmv.dll wmvstat.dll"

Все ниже перечисленные файлы были удалены неоднократно:
c:\windows.0\system32\confwmv.dll >>>>> Email-Worm.Win32.Warezov.gen

C:\WINDOWS.0\system32\wmvstat.dll >>>>> Email-Worm.Win32.Warezov.kz

А также (тоже удалял):
C:\WINDOWS.0\system32\confwmv.bak >>>>> Email-Worm.Win32.Warezov.gen

C:\WINDOWS.0\spoolsrv.exe >>> подозрение на Email-Worm.Win32.Warezov.ln ( 0AED4F4A 031917AD 002300CD 0021BBDB 187392)

C:\WINDOWS.0\system32\npad32.exe Подозрение на Email-Worm.Win32.Warezov.ls ( 06F62448 0D0EA779 0027CD71 0027F3B7 78631)

C:\WINDOWS.0\system32\mprwanp.exe>>>>>Подозрение на Virus.Win32.PE_Type1(степень опасности 75%)


Сейчас же реально снова появляются:
mprwanp.exe
wmvstat.dll
wmvstat.dll

[drongo]

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('wmvmgr32.dll','');
 QuarantineFile('sys32.exe','');
 QuarantineFile('atmmgr32.dll','');
 QuarantineFile('D:\distrib\teleauth2.exe','');
 QuarantineFile('C:\WINDOWS.0\system32\wstdactx.dll','');
 QuarantineFile('C:\WINDOWS.0\system32\selteco.scr','');
 QuarantineFile('\WINDOWS.0\system32\hal.dll','');
 QuarantineFile('C:\WINDOWS.0\system32\wmvmgr32.dll','');
 QuarantineFile('C:\WINDOWS.0\System32\mprwanp.exe','');
 QuarantineFile('C:\WINDOWS.0\system32\mprwanp.dll','');
 QuarantineFile('c:\windows.0\system32\mprwanp.exe','');
RebootWindows(true);
end.

Прислать карантин согласно приложения 3 правил .

[DiMacho]

Карантин отправил через форму http://virusinfo.info/upload_virus.php?tid=8568

После перезагрузки компа, после создания архива карантина nod32 сразу же определил вирусы:

h--p://hersunkionransde.com/yahsndr.exe
h--p://hersunkionransde.com/ndis.exe

wmvconf.exe - модифицированный червь win32.stration с комментарием: событие в новом файле, созданном приложением \??\с:\windows.0\sistem32\winlogon.exe

wmvprf32.dll - модифицированный червь win32.stration с комментарием: событие в новом файле, созданном приложением \??\с:\windows.0\sistem32\winlogon.exe

c:\windows.0\ndis.exe

После чего я выполнил скрипт в АVZ:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('wmvmgr32.dll','');
QuarantineFile('sys32.exe','');
QuarantineFile('atmmgr32.dll','');
QuarantineFile('D:\distrib\teleauth2.exe','');
QuarantineFile('C:\WINDOWS.0\system32\wstdactx.dll ','');
QuarantineFile('C:\WINDOWS.0\system32\selteco.scr' ,'');
QuarantineFile('\WINDOWS.0\system32\hal.dll','');
QuarantineFile('C:\WINDOWS.0\system32\wmvmgr32.dll ','');
QuarantineFile('C:\WINDOWS.0\System32\mprwanp.exe' ,'');
QuarantineFile('C:\WINDOWS.0\system32\mprwanp.dll' ,'');
QuarantineFile('c:\windows.0\system32\mprwanp.exe' ,'');
QuarantineFile('c:\windows.0\system32\wmvconf.exe' ,'');
QuarantineFile('c:\windows.0\system32\wmvprf.dll', '');
QuarantineFile('c:\windows.0\ndis.exe','');
QuarantineFile('c:\windows.0\system32\yahsndr.exe' ,'');
end.

Скопировал лог, после чего произвел перезагрузку и сохранил снова карантин.

Если потребуется могу отправить.

Кстати, teleauth2.exe - это программа "авторизатор" (от интернет-провайдера) для выхода в интернет.

[Shu_b]

если кто ещё не качал 9 метров... сообщаю, что все перечисленные ниже Limar'ы (DrWeb)
C:\WINDOWS.0\spoolsrv.exe
C:\WINDOWS.0\npad32.exe
C:\WINDOWS.0\system32\confwmv.dll
c:\windows.0\system32\mprwanp.exe
C:\WINDOWS.0\system32\wmvstat.dll
C:\WINDOWS.0\system32\wmvmgr32.dll
C:\WINDOWS.0\system32\mprwanp.dll

[DiMacho]

что делать дальше чтобы вылечить комп?

[AndreyKa]

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS.0\spoolsrv.exe');
 DeleteFile('C:\WINDOWS.0\npad32.exe');
 DeleteFile('C:\WINDOWS.0\system32\confwmv.dll');
 DeleteFile('c:\windows.0\system32\mprwanp.exe');
 DeleteFile('C:\WINDOWS.0\system32\wmvstat.dll');
 DeleteFile('C:\WINDOWS.0\system32\wmvmgr32.dll');
 DeleteFile('C:\WINDOWS.0\system32\mprwanp.dll');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate; 
 RebootWindows(True);
end.

Компьютер перезагрузится.
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\dimka\\local settings\\temp\\_tc\\avz4\\quarantine\\2007-03-22\\avz00001.dta - Email-Worm.Win32.Warezov.ln (DrWEB: Win32.HLLM.Limar)
  2. c:\\documents and settings\\dimka\\local settings\\temp\\_tc\\avz4\\quarantine\\2007-03-22\\avz00002.dta - Email-Worm.Win32.Warezov.pk (DrWEB: Win32.HLLM.Limar)
  3. c:\\windows.0\\npad32.exe - Email-Worm.Win32.Warezov.pk (DrWEB: Win32.HLLM.Limar)
  4. c:\\windows.0\\spoolsrv.exe - Email-Worm.Win32.Warezov.ln (DrWEB: Win32.HLLM.Limar)
  5. c:\\windows.0\\system32\\confwmv.dll - Email-Worm.Win32.Warezov.ra (DrWEB: Win32.HLLM.Limar)
  6. c:\\windows.0\\system32\\mprwanp.dll - Email-Worm.Win32.Warezov.la (DrWEB: Win32.HLLM.Limar)
  7. c:\\windows.0\\system32\\mprwanp.exe - Email-Worm.Win32.Warezov.lb (DrWEB: Win32.HLLM.Limar)
  8. c:\\windows.0\\system32\\wmvmgr32.dll - Email-Worm.Win32.Warezov.lj (DrWEB: Win32.HLLM.Limar)
  9. c:\\windows.0\\system32\\wmvstat.dll - Email-Worm.Win32.Warezov.kz (DrWEB: Win32.HLLM.Limar)