Помогите очистить систему от троянов и червей.

alex_sev · Конфигурация компьютера

Цитата leh-stav:

Сегодня утром произошла не большая неприятность: при сканировании касперским диска C система повисла намертво и через 2-3 минуты выкинула в BSOD ссылаясь на watchlog.sys (скрин в следующем посте) »

Скорее конфликт с системным драйвером.

Цитата:

c:\windows\HideWin.exe

- этот файл Вам знаком, если нет, проверьте на Virustotal.com

leh-stav · Отправлено: **22:56, 30-08-2011** | #12

результаты virustotal

alex_sev · Конфигурация компьютера

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"

Скачайте OTCleanIt или с зеркала, запустите, нажмите Clean up

Внимание! Смените все пароли ICQ, Контакт, Почта итд

Необходимо очистить ранее созданную точку восстановления и создать новую:
1. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
2. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить

Для предотвращения заражения рекомендуется:
- не работать за компьютером с правами администратора
- не использовать Internet Explorer или отключить в нем ActiveX и настроить безопасность (рекомендуется использовать Firefox c плагином NoScript)
- регулярно устанавливать обновления windows и антивирусного продукта (обновлять антивирусные базы и модули)

Обновите до последних версий:

leh-stav · Отправлено: **14:59, 31-08-2011** | #14

Добрый день.
Все ваши рекомендации выполнил кроме одного (не работать за компьютером с правами администратора) но и это в ближайшее время исправлю.
Появилась не большая не приятность : контроль программ антивируса выявил (возможное) действие руткита

Текст окна оповещения

alex_sev · Конфигурация компьютера

Сделайте тогда еще логи uVS:

http://safezone.cc/forum/showthread.php?t=14508

Так же скопируйте данный файл, запакуйте в архив с паролем virus

Цитата:

C:\DOCUMENTS AND SETTINGS\LOCAL SETTING\TEMP\47754989-DCB6DE97-EDC248C8-3244B8AD\316B7_XP.EXE

Полученный архив отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Если файла по данному пути не увидите, попробуйте поискать и скопировать его так:

http://safezone.cc/forum/showthread.php?t=15283

alex_sev · Конфигурация компьютера

Выполните скрипт в uVS

http://safezone.cc/forum/showthread.php?t=14509

Код:

;uVS v3.68 script [http://dsrt.dyndns.org]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\LESHA\LOCAL SETTINGS\TEMP\NSG8.TMP\SYSTEM.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\LESHA\LOCAL SETTINGS\TEMP\NSG8.TMP\SYSTEM.DLL
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\LESHA\LOCAL SETTINGS\TEMP\NSG8.TMP\REGISTRY.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\LESHA\LOCAL SETTINGS\TEMP\NSG8.TMP\REGISTRY.DLL
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\LESHA\LOCAL SETTINGS\TEMP\NSG8.TMP\NEWADVSPLASH.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\LESHA\LOCAL SETTINGS\TEMP\NSG8.TMP\NEWADVSPLASH.DLL
zoo %Sys32%\HIDSERV.DLL
delall %SystemDrive%\DOCUMENTS AND SETTINGS\LESHA\LOCAL SETTINGS\TEMP\NSG8.TMP\SYSTEM.DLL
deltmp
regt 5
regt 23
clrmd
restart

leh-stav · Отправлено: **20:04, 31-08-2011** | #17

Добрый вечер.
Выше в пути я ошибся правильный путь C:\DOCUMENTS AND SETTINGS\LESHA\LOCAL SETTING\TEMP\47754989-DCB6DE97-EDC248C8-3244B8AD\316B7_XP.EXE
Лог сделал и отправил.
Не получилось найти даже содержащую файл папку, до temp путь просматривается и а дальше никак. Пробовал Total Commander, XueTr.

alex_sev · Конфигурация компьютера

Скрипт выполните выше указынный, хотя в логах я подозрительного не увидел.

Давайте для успокоения сделаем логи различными антируткитами:

Xuetr:

http://safezone.cc/forum/showthread.php?t=15334

GMER:

http://safezone.cc/forum/showpost.php?p=452&postcount=1

Vba32 AntiRootkit:

http://safezone.cc/forum/showthread.php?t=14172

RKU:

http://safezone.cc/forum/showthread.php?t=14797

TDSSKiller:

http://support.kaspersky.ru/faq/?qid=208636926

После создания каждого лога перезагружайте компьютер.

leh-stav · Отправлено: **23:11, 31-08-2011** | #19

Логи uVS после выполнения скрипта и логи XueTr (остольное завтра)

leh-stav · TDSSKiller.2.5.17.0_01.09.2011_18.10.35_log.txt

Остальные логи.
При проверки Vba32 AntiRootkit в режиме extended выкинула в BSOD, сделал в режиме ordinary

текст BSOD