Что то не то в системе

[Mielofon]

Система Windows7 x64
Стоит AVG Free Edition и он постоянно ругается на вирусы в C:\Windows\System32\iSql\ и c:\Rtsecar.exe причем ещё и падает при его удалении. Почистил машину CureIt-ом и высылаю логи.
И ещё AVZ как оглашенный ругаеся на всё что видит User mode rootkit!

Заранее спасибо за помощь.

[thyrex]

Сделайте лог ComboFix

[Mielofon]

Скачал, запустил, логи кладу.

[thyrex]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\iaim.exe
c:\windows\system32\weoe.exe
c:\windows\system32\birfmq.exe
c:\windows\system32\tjsg.exe
c:\windows\system32\yciyka.exe
c:\windows\system32\myiegw.exe
c:\windows\system32\yciyka.exe
c:\windows\system32\froe.exe
c:\windows\system32\agyaku.exe
c:\windows\system32\mwimkc.exe

Driver::
asdmin
der
grft
hacking58
kJSwpGGG
MKhxUmwz
NaTzPEjE
srgr
txstx
vrs

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Mielofon]

Сделал. Но в этот раз не было в корне (если сын не ошибается - вечером доберусь проверю).
Файл лежал в c:\ComboFix\ComboFix.txt

И что то он маленький. AVG ему мешает - вчера снес, прогнал и опять поставил. Сегодня перед прогоном снёс, но не перезагружался.
Вечером попробую после перезагрузки прогнать скрипт.

[polword]

лог оборваный получился, выполните скрипт еще раз и получившийся лог прикрепите к сообщению

[Mielofon]

Перезапустил. Теперь лог больше. + c:\ComboFix.rar рядом лежит.

[polword]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\program files\mmksgq.exe
c:\program files\wakuak.exe

Driver::

NetSvc::

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.



Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[thyrex]

А также

Выполните скрипт в AVZ

begin
QuarantineFile('c:\program files\Internet Explorer\Antizhmez.scr','');
QuarantineFile('c:\windows\SysWow64\Woishdiha.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

[Mielofon]

Приложил

[Mielofon]

А также

Выполните скрипт в AVZ

begin
QuarantineFile('c:\program files\Internet Explorer\Antizhmez.scr','');
QuarantineFile('c:\windows\SysWow64\Woishdiha.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Карантин на сегодня пустой. Видимо этих 2х гадов кто то уже прибил.

Высылаю ещё раз логи AVZ и HiJackThis

[thyrex]

Что с проблемой?

[Mielofon]

Что с проблемой?

c:\Rtsecar.exe с последней перезагрузки не появляется. Сейчас поставлю AVG и попробую жить с ним. Посмотрим насчет C:\Windows\System32\iSql\ ов.

[Mielofon]

Всё опять вернулось. Сейчас сделаю логи AVZ и ComboFix.

[Mielofon]

Вот логи.

[thyrex]

Выполните скрипт в AVZ

begin
QuarantineFile('C:\Program Files\mmksgq.exe','');
 QuarantineFile('C:\Program Files\wakuak.exe','');
 QuarantineFile('C:\Program Files\Internet Explorer\Antizhmez.scr','');
 QuarantineFile('C:\Program Files\Microsoft Explorer\lsass.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

[Mielofon]

Закачал. Правда там только 'C:\Program Files\Microsoft Explorer\lsass.exe' был в карантине.

[thyrex]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\program files\mmksgq.exe
c:\program files\wakuak.exe
C:\Program Files\Internet Explorer\Antizhmez.scr
C:\Program Files\Microsoft Explorer\lsass.exe

Driver::
Alerter Microsoft Reader
MediaChedze
WMMNetworkKtx
WMMNetworkUxi

Folder::
C:\Windows\System32\iSql

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.



Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Mielofon]

Сделал

[thyrex]

Поищите файл, запакуйте с паролем virus и пришлите по красной ссылке

c:\program files\Internet Explorer\Antihhhee.scr [2011-01-16 215510]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\DRIVERS\eamonm.sys
c:\program files\Internet Explorer\Antihhhee.scr
c:\windows\system32\tdcg.exe
c:\program files\eqoyuy.exe

Driver::
WMMNetworkEbn
wmasds
MediaCrzkmw
eamonm

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.



Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.