[решено] Левая DLL при старте Windows XP SP2

[Solker]

При загрузке винды, вылезает сообщение мол не найдена библиотека i3xawuo6t5.dll.
Библиотека совершенно левая, не понятно откуда взялась и что делает. Но при этом упорно каждый раз нам сообщает, что не может ее подгрузить.
При отключении абсолютно всех НЕстандартных программ и служб из автозагрузки - ей не помеха, всеравно просит. Однако в безопасном режиме все работает без проблем, и не какая дллка ему не нужна.
Пробывал искать по реестру - название дллки, не нашел ни одной ссылки.
Прочесал весь event log, так же не одного упоминания.
Пробывал сделать DLL-заглушку, буквально там с одной функции. Но она видите ли стала нам заявлять что в длл она не смогла найти нужной функции.
regsvr32 /u i3xawuo6t5.dll так же не дает результатов.

Вообщем, вопрос стоит в том, что бы узнать что пытается подзгрузить данную библиотеку при старте винды. И собственно избавится от этого приложения.
Заранее спасибо.

[Blast]

файл mstmdm.dll, что за зверь? (http://forum.oszone.net/thread-108309.html) - для вас действия те же

[Solker]

Добавил логи, следуя инструкции.

[Pili]

Solker, В AVZ - файл - выполнить скрипт – выделить и скопировать текст ниже (методом Ctrl+C/Ctrl+V или с помощью правой кн. мыши копировать/вставить) в окно выполнения скрипта AVZ и нажать кнопку «Запустить». На время выполнения скрипта выключите антивирус и firewall, отключите интернет.
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('2shxne');
StopService('a0c8y6');
StopService('mxdispdr');
SetServiceStart('mxdispdr', 4);
StopService('acpidisk');
SetServiceStart('acpidisk', 4);
StopService('SoSCAR');
SetServiceStart('SoSCAR', 4);
StopService('sysloader');
SetServiceStart('sysloader', 4);
StopService('spoo1v');
SetServiceStart('spoo1v', 4);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\OFFICE\USERDATA\jjDXAYrrs1.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll','');
QuarantineFile('C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9YE.EXE','');
QuarantineFile('C:\Program Files\Punto Switcher\ps.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\oc7vbj.sys','');
QuarantineFile('E:\INSTALL\GMSIPCI.SYS','');
QuarantineFile('C:\WINDOWS\system32\drivers\ga4kemtko.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\devis.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\2shxne.sys','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\sysloader.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\spoo1v.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\RUNDLLFOROUR.EXE','');
QuarantineFile('C:\WINDOWS\system32\drivers\acpidisk.sys','');
QuarantineFile('C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FUIC19YE.DLL','');
QuarantineFile('D:\CARDSERV\Cardserv.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\mxdispdr.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\a0c8y6.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\2shxne.sys','');
QuarantineFile('C:\WINDOWS\system32\winlib .dll','');
QuarantineFile('C:\WINDOWS\system32\msplrct.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\finder.dll','');
QuarantineFile('i3xawuo6t5.dll','');
DeleteService('mxdispdr');
DeleteService('acpidisk');
DeleteService('spoo1v');
DeleteService('sysloader');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\finder.dll');
DeleteFile('C:\WINDOWS\system32\msplrct.dll');
DeleteFile('C:\WINDOWS\system32\winlib .dll');
DeleteFile('C:\WINDOWS\system32\drivers\mxdispdr.sys');
DeleteFile('C:\WINDOWS\system32\drivers\acpidisk.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\spoo1v.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\sysloader.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\OFFICE\USERDATA\jjDXAYrrs1.dll');
DelBHO('{EE60714F-AC17-427e-861A-FD60CBDF119A}');
DelBHO('{C86488AF-13D5-4FEF-9DDF-9FB88698CFC1}');
DelBHO('{385AB8C6-FB22-4D17-8834-064E2BA0A6F0}');
BC_ImportAll;
ExecuteSysClean;
BC_QrFile('C:\WINDOWS\system32\Drivers\2shxne.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\acpidisk.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\mxdispdr.sys');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\spoo1v.exe');
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip выслать на user15802[at]mail.ru, в теле письма указать ссылку на тему, или выложить файл на ifolder.ru или другой файлообменник и дать ссылку на него в ПМ (личку).
Запустите файл hijackthis.exe, нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked" (что найдется)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.zhaodao123.com/?h
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://client.jogo.cn/cdn/browser/customsearch/customsearch-en.html
O2 - BHO: Info cache - {385AB8C6-FB22-4D17-8834-064E2BA0A6F0} - C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll
O2 - BHO: Adobe Common Objects - {C86488AF-13D5-4FEF-9DDF-9FB88698CFC1} - C:\Documents and Settings\All Users\Application Data\Microsoft\OFFICE\USERDATA\jjDXAYrrs1.dll
O9 - Extra button: ТЧИ¤№єОп - {EE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=824 (file missing)
O9 - Extra 'Tools' menuitem: ТЧИ¤№єОп - {EE60714F-AC17-427e-861A-FD60CBDF119A} - http://click2.ad4all.net/url2/urlmanage/url.asp?id=824 (file missing)
O24 - Desktop Component 0: (no name) - http://img-fotki.yandex.ru/get/13/marmarix2.5/0_7584_c8be6c3c_-1-orig

база от 02.06.2008
Обновите антивируную базу AVZ и повторите логи. Вы помощью AVPTool проверяли систему?

[Solker]

Карантинные файлы выслал на указанный email.
Выполнил все выше перечисленное.
Повторяю логи.

С помощью AVPTool не проверял систему. Стоит DrWeb.

[Pili]

По касперскому:
C:\Documents and Settings\All Users\Application Data\Microsoft\OFFICE\USERDATA\jjDXAYrrs1.dll - AdWare.Win32.IEHlpr.hb
C:\WINDOWS\system32\drivers\devis.sys -Trojan.Win32.Zapchast.ew
C:\WINDOWS\System32\DRIVERS\2shxne.sys - Trojan-Downloader.Win32.Hmir.sm
C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\sysloader.exe - Trojan-Downloader.Win32.Agent.pfh, Trojan-Downloader.Win32.Agent.jdz
C:\WINDOWS\system32\drivers\mxdispdr.sys - Trojan.Win32.Inject.tf
C:\WINDOWS\system32\drivers\a0c8y6.sys - Trojan-Downloader.Win32.Hmir.dje
C:\Documents and Settings\All Users\Application Data\Microsoft\Office\SYSTEM\finder.dll - Trojan-Downloader.Win32.Agent.pfh
C:\WINDOWS\system32\drivers\acpidisk.sys - новый, RKIT/Cinmus.M по AntiVir по VT тут (http://www.virustotal.com/ru/analisis/cd876a5276829eb39a2b7c03d893f4cb)

Где лог hijakthis?

Скачайте IceSword (http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip), запустите, выберите в меню File, появится аналог проводника, найдите в нем указанные файлы (если найдутся)
нажмите по файлам правой кнопкой мыши и скопируйте файлы
C:\WINDOWS\system32\drivers\ga4kemtko.sys
C:\WINDOWS\system32\drivers\oc7vbj.sys
C:\WINDOWS\SYSTEM32\spoo1v.exe
в какую-нибудь папку (создайте напр. папку virus) при помощи Copy to..., потом удалите файлы

C:\WINDOWS\System32\DRIVERS\2shxne.sys
C:\WINDOWS\system32\drivers\a0c8y6.sys
C:\WINDOWS\system32\drivers\ga4kemtko.sys
C:\WINDOWS\system32\drivers\oc7vbj.sys
C:\WINDOWS\system32\drivers\devis.sys
C:\WINDOWS\SYSTEM32\spoo1v.exe
с помощью force delete (прав. кн. мыши, на запрос подтверждения ответьте "да").
Скопированные файлы запакуйте в архив с паролем virus и пришлите, потом выполните скрипт
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('oc7vbj');
SetServiceStart('oc7vbj', 4);
StopService('ga4kemtko');
SetServiceStart('ga4kemtko', 4);
StopService('a0c8y6');
SetServiceStart('a0c8y6', 4);
StopService('2shxne');
SetServiceStart('2shxne', 4);
StopService('devis');
SetServiceStart('devis', 4);
QuarantineFile('C:\WINDOWS\SYSTEM32\spoo1v.exe','');
QuarantineFile('C:\WINDOWS\LIVING~1.SCR','');
QuarantineFile('C:\WINDOWS\system32\drivers\oc7vbj.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\RUNDLLFOROUR.EXE','');
QuarantineFile('C:\WINDOWS\system32\drivers\ga4kemtko.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\RUNDLLFOROUR.EXE','');
DeleteFile('C:\WINDOWS\system32\drivers\devis.sys');
DeleteFile('C:\WINDOWS\system32\drivers\a0c8y6.sys');
DeleteFile('spoo1v.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\spoo1v.exe');
DeleteFile('C:\WINDOWS\System32\DRIVERS\2shxne.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ga4kemtko.sys');
DeleteFile('C:\WINDOWS\system32\drivers\oc7vbj.sys');
DeleteService('2shxne');
DeleteService('a0c8y6');
DeleteService('ga4kemtko');
DeleteService('oc7vbj');
DeleteService('devis');
DeleteService('spoo1v');
BC_QrFile('C:\WINDOWS\SYSTEM32\RUNDLLFOROUR.EXE');
BC_QrFile('C:\WINDOWS\SYSTEM32\spoo1v.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\a0c8y6.sys');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\spoo1v.exe');
BC_DeleteFile('C:\WINDOWS\system32\drivers\devis.sys');
BC_DeleteFile('C:\WINDOWS\System32\DRIVERS\2shxne.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\ga4kemtko.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\oc7vbj.sys');
BC_ImportAll;
ExecuteSysClean;
BC_QrSvc('SoSCAR');
BC_QrSvc('spoo1v');
BC_DeleteSvc('devis');
BC_DeleteSvc('oc7vbj');
BC_DeleteSvc('ga4kemtko');
BC_DeleteSvc('a0c8y6');
BC_DeleteSvc('2shxne');
BC_DeleteSvc('spoo1v');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip выслать на user15802[at]mail.ru, в теле письма указать ссылку на тему
Рекомендую провериться с помощью AVPTool
Повторите логи

[Solker]

Через IceSword удалил C:\WINDOWS\System32\DRIVERS\2shxne.sys, других попросту не было.
Запустил очередной скрипт для AVZ, ошибка пропала.
Следовательно спасибо.

Если quarantine.zip еще нужен, вышлю в ближайшее время.

[Pili]

Solker, quarantine.zip нужен. По некоторым файлам из предыдущего карантина ждем ответа из вирлаба. Повторите логи.