Вирус блокирует жёсткие диски

[Asylum]

Обнаружил, что жесткие диски сделаны сетевыми и заблокирована корзина и удаление с этих дисков. ComboFix что-то находит, но не помогает. Правда позволил разблокировать удаление на дисках. Диск Е вообще не виден снаружи - пробовал DrwebLiveUSB. Работает и зависает. После принудительной перезагрузки рушатся каталоги и винда запускает проверку диска. Ни Дрвеб ни касперский не помогают также.

[Никита Соловьев]

Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\TEMP\TF.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\VTLFBAVIVW.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\WQDQMDEDI.exe','');
 DeleteService('WQDQMDEDI');
 DeleteService('VTLFBAVIVW');
 DeleteService('TF');
 QuarantineFile('C:\WINDOWS\TEMP\RHVVJVFZPU.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\RBEVA.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\PJJSVAZC.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\NSYBIUQOL.exe','');
 DeleteService('NSYBIUQOL');
 DeleteService('PJJSVAZC');
 DeleteService('RBEVA');
 DeleteService('RHVVJVFZPU');
 QuarantineFile('C:\WINDOWS\TEMP\MNCNIZEEDI.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\COOPLRRC.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\CMKOXYM.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\CCSCKEHZP.exe','');
 DeleteService('CCSCKEHZP');
 DeleteService('CMKOXYM');
 DeleteService('COOPLRRC');
 DeleteService('MNCNIZEEDI');
 DeleteFile('C:\WINDOWS\TEMP\CCSCKEHZP.exe');
 DeleteFile('C:\WINDOWS\TEMP\CMKOXYM.exe');
 DeleteFile('C:\WINDOWS\TEMP\COOPLRRC.exe');
 DeleteFile('C:\WINDOWS\TEMP\MNCNIZEEDI.exe');
 DeleteFile('C:\WINDOWS\TEMP\NSYBIUQOL.exe');
 DeleteFile('C:\WINDOWS\TEMP\PJJSVAZC.exe');
 DeleteFile('C:\WINDOWS\TEMP\RBEVA.exe');
 DeleteFile('C:\WINDOWS\TEMP\RHVVJVFZPU.exe');
 DeleteFile('C:\WINDOWS\TEMP\WQDQMDEDI.exe');
 DeleteFile('C:\WINDOWS\TEMP\VTLFBAVIVW.exe');
 DeleteFile('C:\WINDOWS\TEMP\TF.exe');
 DeleteFile('C:\WINDOWS\Installer\26d74e6.msi');
 DeleteFileMask('C:\WINDOWS\TEMP','*.exe',false);
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip загрузите по ссылке прислать запрошенный карантин.

Сделайте новые логи

[Asylum]

Скрипт выполнил.
Забыл сказать, что ComboFix выдал
e:\recycled\De2.exe . . . . Failed to delete
c:\windows\regedit.exe . . . is infected!!
c:\windows\system32\cscript.exe . . . is infected!!
c:\windows\system32\mspaint.exe . . . is infected!!
c:\windows\system32\mstsc.exe . . . is infected!!
c:\windows\system32\sc.exe . . . is infected!!
c:\windows\system32\services.exe . . . is infected!!
c:\windows\system32\telnet.exe . . . is infected!!
c:\windows\system32\tlntsess.exe . . . is infected!!
c:\windows\system32\w32tm.exe . . . is infected!!
c:\windows\system32\wscript.exe . . . is infected!!
c:\windows\system32\wbem\wmiprvse.exe . . . is infected!!
c:\windows\system32\dnsapi.dll . . . is infected!!
***
Загрузить карантин по ссылке не удалось. Залил сюда же

[Никита Соловьев]

сделайте лог комбофикс

[Asylum]

Сделал. Правда ComboFix вылетает в процессе работы. Картинку прилагаю.

[Никита Соловьев]

c:\windows\regedit.exe . . . is infected!!

c:\windows\system32\cscript.exe . . . is infected!!

c:\windows\system32\mspaint.exe . . . is infected!!

c:\windows\system32\mstsc.exe . . . is infected!!

c:\windows\system32\sc.exe . . . is infected!!

c:\windows\system32\services.exe . . . is infected!!

c:\windows\system32\telnet.exe . . . is infected!!

c:\windows\system32\tlntsess.exe . . . is infected!!

c:\windows\system32\w32tm.exe . . . is infected!!

c:\windows\system32\wscript.exe . . . is infected!!

c:\windows\system32\wbem\wmiprvse.exe . . . is infected!!

c:\windows\system32\dnsapi.dll . . . is infected!!

Заархивируйте в ZIP с паролем virus и пришлите эти файлы по ссылке "прислать запрошенный карантин"

[Asylum]

Закачал. Только ссылку для поста там не нашёл???
Файл сохранён как 110108_234824_Infected_4d28cd9834c28.zip
Размер файла 1180102
MD5 cd3abe2ea975a953b650ad89231789e6

[Никита Соловьев]

Файлы в порядке. У Вас система сборка?

[Asylum]

Да сборка. Раньше никаких претензий у Комбофикса не имелось. А сейчас на wmiprvse.exe ещё и макафи ругается - проверял на вирустотал. Вообщем, после каждой перезагрузки логические диски становятся системными. Удаления с диска Е нет, снаружи диск Е не виден. Корзина глючит с очисткой. Винэксплорер периодически вылетает.
Переставлять винду?

[Никита Соловьев]

А сейчас на wmiprvse.exe ещё и макафи ркгается - проверял на вирустотал.

Какой результат?

[Asylum]

File name: wmiprvse.exe
Submission date: 2011-01-08 11:36:32 (UTC)
Current status: finished
Result: 1 /43 (2.3%)

McAfee-GW-Edition 2010.1C 2011.01.08 Heuristic.BehavesLike.Win32.Suspicious.H

[Никита Соловьев]

McAfee-GW-Edition 2010.1C 2011.01.08 Heuristic.BehavesLike.Win32.Suspicious.H

Это не аргумент. Он там многие файлы определяет.

Больше никаких аномалий у Вас в системе не вижу. Скорее всего это специфика сборки

[Asylum]

Похожая история уже была, но вылечилась Комбофиксом в тот раз. В этот раз уже не получается. (((
RootkitRevealer тоже находит всякие аномалии в реестре. Попробую их поправить и, если не будет результата, поставлю старую корявую лицензию )))

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения вредоносные программы в карантинах не обнаружены