[Drongo]

kfamily66, Значит сделаем вот как.

• HiJackThis Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis

Код:

O2 - BHO: (no name) - AutorunsDisabled - (no file) 
O18 - Protocol: AutorunsDisabled - (no CLSID) - (no file)
O20 - AppInit_DLLs: sxehack.dll prio.dll

---

вчера они с AVP нашли парочку Virut.ce однако проблема осталась »

Virut.ce это файловый вирус - Virut
Теперь скачиваем Quick Killer. Распаковываем архив. Запускаем Quick Killer.exe. Ставим переключатель в положение VirutKiller и устанавливаем галочки:

1. Записать в лог 'report.txt'
2. По окончании не ждать нажатия любой клавиши.

Жмём кнопку Выполнить, полученый лог report-[Virut].txt прикрепляем к следующему сообщению.

---

Теперь сделаете лог утилитой gmer
Загрузите GMER по одной из указанных ссылок
Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)
Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).
Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

• Sections
• IAT/EAT
• Show all

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

---

После чего сделаете логи по рекомендации и прикрепите к следующему сообщению полученные логи.

[kfamily66]

Пробовал сделать лог Gmer, но на этапе \File System\UdfsDiskRecognizer вешает систему намертво,пробовал 2 раза,результат тот же. Логи AVZ и HijackThis сделал( только почему то в avz4\log только один zip файл, а не два). Лог VirutKiller не полный(3 лог. диска из 4,полный будет чуть позже)

[kfamily66]

вот полный лог

[Drongo]

kfamily66, Лог Virut.txt чистый, но, файловый вирус орудует во всю.

>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных

• HiJackThis Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis

Код:

O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: SmartShopper - Compare product prices - {3CC3D8FE-F0E0-4dd1-A69A-8C56BCC7BEBF} - (no file)
O9 - Extra button: SmartShopper - Compare travel rates - {3CC3D8FE-F0E0-4dd1-A69A-8C56BCC7BEC0} - (no file)
O18 - Protocol: AutorunsDisabled - (no CLSID) - (no file)

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('I:\autorun.inf','');
 QuarantineFile('C:\Users\73B5~1\AppData\Local\Temp\UFPHHOTGYRZ.exe','');
 QuarantineFile('C:\Windows\TEMP\VRT7A39.tmp','');
 QuarantineFile('prio_svc.sys','');
 DeleteFile('prio_svc.sys');
 DeleteFile('C:\Windows\TEMP\VRT7A39.tmp');
 DeleteFile('C:\Windows\TEMP\VRTFE7C.tmp');
 DeleteFile('C:\Users\73B5~1\AppData\Local\Temp\UFPHHOTGYRZ.exe');
 DeleteFile('C:\Users\73B5~1\AppData\Local\Temp\ZGIA.exe');
 DeleteFile('C:\Users\73B5~1\AppData\Local\Temp\ZRHTJR.exe');
 DeleteFile('I:\autorun.inf');
 DelBHO('{3CC3D8FE-F0E0-4dd1-A69A-8C56BCC7BEC0}');
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 DeleteService('ZGIA');
 DeleteService('ZRHTJR');
 DeleteService('UFPHHOTGYRZ');
 DeleteService('FLEXnet Licensing Service');
 DeleteService('2GIS UpdateClientService');
 DeleteService('prio_svc');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После всех процедур выполните скрипт

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму. В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

На заведомо рабочем и не заражённом компьютере скачать утилиты - CureIT или Kaspersky Virus Removal Tool. Записать на CD-диск и пролечить ими. Или скачать LiveCD и пролечить компьютер загрузившись с диска.

Повторите логи чистой\незаражённой\свежескачаной AVZ, что с проблемой после выполнения скрипта?

[iskander-k]

Вы проверяли систему при помощи диска с Dr.Web® LiveCD ? Загрузите образ диска запишите на диск (на чистом компьютере) загрузитесь с этого диска и проверьте ваш компьютер.

[kfamily66]

Благодарю после выполнения скрипта проблема с сайтами антивируса полностью решена, остался файловый. один раз подобное уже было,тогда cureIt c диска при полном сканировании нашел около 1000 зараженных virutом файлов, все вылечил,видимо это еще не все...
P.S. как я понял новые логи avz нужны после лечения cureIt?

to iskander: хорошо, обязательно попробую,спасибо.

[Drongo]

P.S. как я понял новые логи avz нужны после лечения cureIt? »

Да, конечно. Нужно убедиться что всё в порядке после лечения.

to iskander: хорошо, обязательно попробую,спасибо. »

Нужно не попробовать. А точно сделать иначе все труды пропадут даром. Ведь неизвестно куда распространился вирус, одно дело если только на диске С: и другое если и на других логических... Тогда переустановка не поможет, т.к. после запуска любого заражённого файла с другого логического, заражение вспыхнет снова...