Неубиваемый вирус.

[Dimirtiy]

При загрузке компьютера антивирус Касперского обнаруживает два вируса, в директории system32. Один из зараженных объектов в system\drivers\etc\hosts указывает что вирус вылечен. Другой объект k.dll находится в корне system32. Антивирус удаляет этот объект и сообщает что объект заражен Trojan.Win32.Small.cml, и для корректной работы предлагает перезагрузку и сам ее выполняет. После перезагрузки система вываливается в BSOD с адресом ошибки STOP:C000021a. В безопастном режиме удается загрузится и откатить систему, далее удается загрузится в нормальном режиме, и начинается все по кругу, антивирус сообщает что найдены зараженные объекты host объект вылечивает, k.dll удаляет и при перезагрузке опять BSOD. В нормальном режиме при некоторых откатак при попытках открыть реестр или групповые политики отказ прав доступа.

[Bratez]

1. Скачайте AVZ 4.35 и обновите ее базы.

2. Отключите восстановление системы.

3. Выполните скрипт в AVZ:

begin
 ExecuteRepair(13);
 DelBHO('{83821C2B-32A8-4DD7-B6D4-44309A78E668}');
 BC_DeleteSvc('msupdate');
 BC_DeleteSvc('DataSvr2');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

4. Сделайте новые логи.

[Dimirtiy]

Все сделал как рекомендовано.
При попытке выполнить скрипт ошибка Failed to set data "DisplayName"
запуск AVZ выполняется с правами Администратора, антивирусы выключены, восстановление системы так же выключено. Еще нюанс пытался запускать AVZ с правами другой администраторской учетки, выскакивает сообщение предупреждения. Указанная служба не может быть запущена, поскольку она отключена или все связанные с ней устройства отключены. Странно.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\k.dll','');
 QuarantineFile('c:\windows\system32\winlogon.exe','');
 QuarantineFile('c:\windows\explorer.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хелпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 8 Мб, то карантин отправьте по адресу [email protected]
Полученный ответ сообщите здесь (с указанием номера KLAN)

[Dimirtiy]

Спасибо. Все успешно было побеждено с помощью рекомендаций специалистов kaspersky-911.ru и утилитs comboFix.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\explorer.exe - Trojan.Win32.Patched.lk ( DrWEB: Win32.Dat.17, BitDefender: Trojan.Patched.KB.1, AVAST4: Win32:WinPatch )
  2. c:\\windows\\system32\\winlogon.exe - Trojan.Win32.Patched.lk ( DrWEB: Win32.Dat.17, BitDefender: Trojan.Patched.KB.1, NOD32: Win32/Bamital.FH trojan, AVAST4: Win32:WinPatch )