Помогите уничтожить трояна и, по-моему, червя

[Apollon]

ЛК выручайте пожалуйста, этот троян эпидемия какая то, еле еле пару логов сделал при помощи хисджака и авз один лог, а ост синий экран, а виндовс переустанавливать некак нельзя. Помогите пожалуйста.

avz_sysinfo.zip

avz_sysinfo2.zip

hijackthislog.zip

[Гриша]

Странно,а почему вы не пошли с просьбой о помощи на форум Доктора?

 

Отключите антивирус и интернет!

 

Скачать,меню,File,появится аналог проводника,найти:

 

C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\Drivers\Winqf67.sys

 

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

 

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

 

begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
QuarantineFile('C:\WINDOWS\system32\oembios.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\lphccwsj0e559.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
QuarantineFile('C:\Documents and Settings\User.9169DC64D881411\cftmon.exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\cftmon.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winqf67.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('c:\documents and settings\user.9169dc64d881411\cftmon.exe','');
QuarantineFile('c:\windows\system32\braviax.exe','');
TerminateProcessByName('c:\windows\system32\braviax.exe');
TerminateProcessByName('c:\documents and settings\user.9169dc64d881411\cftmon.exe');
DeleteService('Winqf67');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('c:\documents and settings\user.9169dc64d881411\cftmon.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Winqf67.sys');
DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\cftmon.exe');
DeleteFile('C:\Documents and Settings\User.9169DC64D881411\cftmon.exe');
DeleteFile('C:\WINDOWS\system32\blphccwsj0e559.scr');
DeleteFile('C:\WINDOWS\system32\braviax.exe');
DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\system32\lphccwsj0e559.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\oembios.exe');
DeleteFile('C:\WINDOWS\system32\twext.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('mp3res.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Winqf67');
BC_Activate;
ExecuteRepair(5 );
ExecuteRepair(6 );
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.

 

Полученный архив отправьте на newvirus@kaspersky.com не забыв указать пароль(virus).Ответ сообщите.

 

Логи повторить.

Изменено 15 сентября, 2008 пользователем Гриша

[Apollon]

Спасибо

 

Скачать,меню,File,появится аналог проводника,найти:

нету там ни какого провадника ,

spoolsv.exe еще тут и не куда не девался, логи вышлю мин так через 10- 15 может чуть больше потому что комп тормазит

[Гриша]

Как нет,а это что?

[Apollon]

вирус неубирается, он засел по полной я уже все вычистил все перетрес, он тут эпидемию устроить решил. что делать? а логи с компа уже 2-ой час считываются и потом синий экран смерти что делть?

[Гриша]

Давайте лог только после стандартного скрипта №2...

[Apollon]

По верхнему скрипту все сделал, а он run.dll32 сьел, терь это не виндовз, а жуйдос! спасибо за помощь, все равно теперь придется все переустанавливать

Изменено 15 сентября, 2008 пользователем User

[Гриша]

Ну не знаю,что вы там делали,обычно все лечится на раз-два...

[Apollon]

Ну не знаю,что вы там делали,обычно все лечится на раз-два...

значит я малость не туда ткнул

[vadimjp]

А кто может подсказать, как избавиться от этого файла в реестре?

Сам вирус успешно прибит, но после каждой перезагрузки запись о twext.exe появляется в ключе:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit\C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twext.exe

[Гриша]

А он точно прибит?

[vadimjp]

А он точно прибит?

 

Угу. Ни Касперский, ни DrWeb ничего не находят.

Касперский стоит нормальный, а с DrWeb я брал бесплатную утилиту.