Help! Вирусы достали! Подскажите .

[ProtasOff]

"В безопасном" это как?

[Gobzavr]

"В безопасном" это как?

F8 при запуске - безопасный режим (safe mode)

[ProtasOff]

Cure IT пишет, что ничего не нашёл. Соответственно и AVZ по старому.

[Gobzavr]

АВЗ от админа запускаете же?

[ProtasOff]

По всякому пытался. При попытке выполнить скрипт - вырубается. Остальные функции работают.

[Gobzavr]

Ага. Понял. Перегрузите машину. Сделайте анализ еще раз.

[ProtasOff]

Отчёт здесь http://slil.ru/29608520

[Gobzavr]

Давайте начнем с малого...

begin
SetAVZPMStatus(True);
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\Windows\System32\drivers\b57nd60a.sys','');
 QuarantineFile('C:\Windows\SysWOW64\bgsvcgen.exe','');
 DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 BC_DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
 BC_DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
BC_ImportDeletedList;
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

После - анализ еще раз

[ProtasOff]

Этот тоже ошибку выдаёт. Вот скрин.

[Gobzavr]

begin
SearchRootkit(true, true);
 QuarantineFile('C:\Windows\System32\drivers\b57nd60a.sys','');
 QuarantineFile('C:\Windows\SysWOW64\bgsvcgen.exe','');
 DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 BC_DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
 BC_DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
BC_ImportDeletedList;
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

[ProtasOff]

Не хочет.

[Gobzavr]

Странно

begin
 QuarantineFile('C:\Windows\System32\umpo.dll','');
 QuarantineFile('C:\Windows\SysWOW64\bgsvcgen.exe','');
 QuarantineFile('C:\Windows\System32\drivers\b57nd60a.sys','');
 TerminateProcessByName('c:\windows\syswow64\bgsvcgen.exe');
 QuarantineFile('c:\windows\syswow64\bgsvcgen.exe','');
 DeleteFile('c:\windows\syswow64\bgsvcgen.exe');
 BC_DeleteFile('c:\windows\syswow64\bgsvcgen.exe');
 DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 BC_DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 DeleteFile('C:\Windows\System32\umpo.dll');
 BC_DeleteFile('C:\Windows\System32\umpo.dll');
 DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
 BC_DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');

end.

А вот если так. Тут без загрузок драйверов.

[ProtasOff]

Теперь работает. Отчёт http://slil.ru/29608644

[Gobzavr]

Вариант раз:

begin
 QuarantineFile('C:\Windows\System32\umpo.dll','');
 QuarantineFile('C:\Windows\System32\RpcEpMap.dll','');
 QuarantineFile('C:\Windows\System32\UI0Detect.exe','');
 QuarantineFile('C:\Windows\SysWOW64\bgsvcgen.exe','');
 DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 BC_DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 DeleteFile('C:\Windows\System32\UI0Detect.exe');
 BC_DeleteFile('C:\Windows\System32\UI0Detect.exe');
 DeleteFile('C:\Windows\System32\RpcEpMap.dll');
 BC_DeleteFile('C:\Windows\System32\RpcEpMap.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\RpcEptMapper\Parameters','ServiceDll');
 DeleteFile('C:\Windows\System32\umpo.dll');
 BC_DeleteFile('C:\Windows\System32\umpo.dll');
end.

Вариант два

begin
SetAVZPMStatus(True);
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\Windows\System32\umpo.dll','');
 QuarantineFile('C:\Windows\System32\RpcEpMap.dll','');
 QuarantineFile('C:\Windows\System32\UI0Detect.exe','');
 QuarantineFile('C:\Windows\SysWOW64\bgsvcgen.exe','');
 DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 BC_DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 DeleteFile('C:\Windows\System32\UI0Detect.exe');
 BC_DeleteFile('C:\Windows\System32\UI0Detect.exe');
 DeleteFile('C:\Windows\System32\RpcEpMap.dll');
 BC_DeleteFile('C:\Windows\System32\RpcEpMap.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\RpcEptMapper\Parameters','ServiceDll');
 DeleteFile('C:\Windows\System32\umpo.dll');
 BC_DeleteFile('C:\Windows\System32\umpo.dll');
BC_ImportDeletedList;
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

[ProtasOff]

отчёт после первого скрипта http://slil.ru/29608705

[Gobzavr]

begin
SetAVZPMStatus(True);
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 QuarantineFile('C:\Windows\System32\drivers\b57nd60a.sys','');
 QuarantineFile('C:\Windows\SysWOW64\bgsvcgen.exe','');
 DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 BC_DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
 BC_DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
BC_ImportDeletedList;
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

[ProtasOff]

Та же ошибка.

[Gobzavr]

А если так

 begin
QuarantineFile('C:\Windows\System32\drivers\b57nd60a.sys','');
 QuarantineFile('C:\Windows\SysWOW64\bgsvcgen.exe','');
 DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 BC_DeleteFile('C:\Windows\SysWOW64\bgsvcgen.exe');
 DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
 BC_DeleteFile('C:\Windows\System32\drivers\b57nd60a.sys');
end.

У вас LiveCD есть?

[ProtasOff]

Это куда вставлять? Live CD нет.
Бегу на работу. Вечером будете на форуме?

[Gobzavr]

Это куда вставлять?

Та все туда же - выполнить скрипт

Live CD нет.

Плохо. Могу дать ссылку на ISO файл

Вечером будете на форуме?

А куда я денусь