Malware "Internet Security 2011"

[langolier2001]

С файлообменника unibytes.com подхватил эту заразу - поддельный антивирус Internet Security 2011, конечно сам виноват, но тем не менее...
Как бы избавиться от этой напасти, запускается, вроде как, через svchost.exe (КидоКиллер выдал сообщение перед тем как "выпасть": "/\\.\globalroot\Device\svchost.exe\svchost.exe"), рубит любой ресурс, который пробует к небу подобраться, а потом блокирует исполняемый файл: HijackThis, RSIT, KidoKiller, avz4, CureIt, Malwarebytes Anti-Malware... ничто не работает, и даже в СэйфМоде... :(
PS Метод с http://www.spyware-ru.com/remove-smss32-exe-winlogon32-exe-helper32-dll-worm-win32-netsky-spyware-alert/ так же НЕ сработал...

[icotonev]

Добрый день ..!Попробуйте оба:

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe на combo-fix.exe

Подробнее в "ComboFix. Руководство по применению." (http://virusnet.info/forum/showthread.php?t=2773)

[langolier2001]

Попробовал ComboFix, хотя надежда была маленькая: единственное, что он смог сделать - это самораспаковаться в корень и больше ничего... ;(
Зловред точно запускается через svchost.exe, просматривал свойства процессов в "Process Killer" и на последнем svchost-е, prkiller сам скончался и не захотел больше запускаться.

[icotonev]

Скачать rkill (http://download.bleepingcomputer.com/grinler/rkill.com) и сохранить его на рабочем столе.Эта программа будет пытаться остановить все процессы для обеспечения безопасности - временно.Запустите программу.Будьте терпеливы и ждать программа завершит свою работу.RKill - краткое введение в программу (http://virusnet.info/forum/showthread.php?t=11410)
У нас есть только одно условие - не перезагрузить компьютер..!

Тогда..:

Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - нажмите "Remove Selected" (удалить выделенные.... смотрите, что удаляете). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. (http://data.mbamupdates.com/tools/mbam-rules.exe[/url)

+

Краткие правила (http://forum.oszone.net/post-717373-2.html)

[langolier2001]

После двух с лишним недель переписки с kaspersky-911.ru, помогло единственное решение - это лечение из-под Линукса.
Причем, перепробовал лечение из-под Windows XPE, загруженной с флэшки, и Windows XP SP3, подцепил винчестер на другой компьютер: AVZ, AVPTool, CureIt ничего не обнаруживали, ESET Online scanner так же ничего не обнаруживал.
Ни одна из утилит не могла "убить" руткит "\\.\globalroot\Device\svchost.exe\svchost.exe", только Rootkit Unhooker LE смог убить этот процесс в режиме ForceKill, но процесс снова запускался (но уже с каким-то странным именем) и по прежнему действовал.

А вот лог лечения AVPTool из-пол Линукса:

Статус: Удалено (событий: 39)
31.12.10 10:26 Удалено троянская программа Trojan-Ransom.Win32.PinkBlocker.bvv C:/RECYCLER/S-1-5-18/Dc17.exe Высокая
31.12.10 10:27 Удалено троянская программа Trojan-Downloader.Java.Agent.ex C:/RECYCLER/S-1-5-18/Dc174.tmp Высокая
31.12.10 10:27 Удалено троянская программа Trojan-Downloader.Java.Agent.ex C:/RECYCLER/S-1-5-18/Dc174.tmp//AppletPanel.class Высокая
31.12.10 10:27 Удалено троянская программа Trojan-Downloader.Java.Agent.ex C:/RECYCLER/S-1-5-18/Dc174.tmp//Main.class Высокая
31.12.10 10:27 Удалено троянская программа Exploit.Java.Agent.v C:/RECYCLER/S-1-5-18/Dc175.tmp Высокая
31.12.10 10:27 Удалено троянская программа Trojan-Downloader.Java.Agent.es C:/RECYCLER/S-1-5-18/Dc175.tmp//AppletPanel.class Высокая
31.12.10 10:27 Удалено троянская программа Exploit.Java.Agent.v C:/RECYCLER/S-1-5-18/Dc175.tmp//Main.class Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3556.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3557.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3558.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3559.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3560.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3561.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3562.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3563.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3564.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3565.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3566.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3567.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3569.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/RECYCLER/S-1-5-21-1454471165-1637723038-682003330-500/Dc3568.tmp Высокая
31.12.10 10:29 Удалено троянская программа Trojan-Spy.Win32.Agent.blbk C:/WINDOWS/assembly/GAC_MSIL/ Высокая
31.12.10 10:29 Удалено троянская программа Trojan-Spy.Win32.Agent.blbk C:/WINDOWS/assembly/GAC_MSIL/Desktop.ini Высокая
31.12.10 10:29 Удалено вирус Rootkit.Win32.Agent.bknf C:/WINDOWS/system32/dfbb.sys Высокая
31.12.10 10:30 Удалено вирус Rootkit.Win32.Agent.bknf C:/WINDOWS/system32/eeed.sys Высокая
31.12.10 10:30 Удалено вирус Rootkit.Win32.Agent.blax C:/WINDOWS/system32/drivers/vbma0c53.sys Высокая
31.12.10 10:30 Удалено вирус Rootkit.Win32.Agent.blax C:/WINDOWS/system32/drivers/vbma0c53.zip Высокая
31.12.10 10:30 Удалено вирус Rootkit.Win32.Agent.blax C:/WINDOWS/system32/drivers/vbma0c53.zip//vbma0c53.sys Высокая
31.12.10 10:28 Удалено троянская программа Trojan.Win32.PMax.l C:/WINDOWS/WinSxS/x86_Microsoft.Windows.Shell.HWEventDetector_6595b64144ccf1df_5.2.2.3_x-ww_5390e909/shsvcs.dll Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/WINDOWS/Temp/fffad723.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/WINDOWS/Temp/fffad984.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/WINDOWS/Temp/fffadd1e.tmp Высокая
31.12.10 10:27 Удалено троянская программа Packed.Win32.Krap.hx C:/WINDOWS/Temp/fffaddca.tmp Высокая
31.12.10 10:28 Удалено троянская программа Packed.Win32.Krap.hx C:/WINDOWS/Temp/fffae00c.tmp Высокая
31.12.10 10:28 Удалено троянская программа Packed.Win32.Krap.hx C:/WINDOWS/Temp/fffae0a8.tmp Высокая
31.12.10 10:28 Удалено троянская программа Packed.Win32.Krap.hx C:/WINDOWS/Temp/fffae367.tmp Высокая
31.12.10 10:29 Удалено вирус Rootkit.Win32.Agent.blax C:/WINDOWS/maxdrive/vbma0c53.sys Высокая
31.12.10 10:30 Удалено вредоносная программа HackTool.Win32.Kiser.fm E:/shares/Install/Tools/9.0.0.1297P.rar Средняя
31.12.10 10:30 Удалено вредоносная программа HackTool.Win32.Kiser.fm E:/shares/Install/Tools/9.0.0.1297P.rar//9.0.0.1297.exe Средняя


Интересно то, что, например, "vbma0c53.sys", загруженный из-под Windows на VirusTotal, практически никто не смог "определить": http://www.virustotal.com/file-scan/report.html?id=2abc67830daf232c684588350b5cc905ae53667d9b003e7ff66751c160d8bd97-1293371511

Так что, рекомендую: http://support.kaspersky.ru/viruses/rescuedisk

PS Проблема решена, топик можно закрыть.
PSS Всех с Новым годом и не "болеть"... ;)