удаление назойливой самодублирующейся чат-программы

[Melek]

Уважаемые, всем доброго времени суток.
Схожу с ума, пишу в надежде на совет. Разбить комп к чертям или преустановить винду - радикально. Второе вполне выполнимо, проделано не раз, но как-то хочется понять суть вопроса, а не таК, с плеча рубить.

Собственно вопрос. Вероятно один из пользователей, а они у меня все малоопытные, тыкают ДА на любое предложение в сети, согласился установить чертову чат-пограмму. Шайтан-программа автоматически себя включает на всех 4х пользователях, параллельно предлагая себя зарегистрировать на собственном сайте. В настройках нет пункта типа "запускать вместе с виндоус".
Собственно просто закрыть дело, но минут так через... всё повторяется. антивирус прогу видит, доодит до моего сведения, что это какая-то дрянь, но пжимает плечами т.к. удалить окончательно не в состоянии. Удалялась вручную, чистились все углы какие можно. Вроде как ничего не остается, но при седующем же запуске здрасьте-пожалуйста.
Помимо всех удаляемых файлов есть один с однозначным названием antidown.exe. Вот стереть его мне не удается. После всех моих маневров при запуске винды стало появляться окно с ообщением о невозможности создания этого замого антидаун экзешника. Хотя сам по себе он лежит на прежнем месте.
Собственно какие углы я пропустила, где посмотреть и как таки всё это постирать, т.к. досаждает ужасно. Что это такое, с чем его едят и как утилизируют?

Огромное спасибо!

[Гризлик]

Melek, Делайте как тут сказано http://pchelpforum.ru/f26/t6442/ и выложите логи

[Melek]

итак, проделала первую часть процедур, всё по плану. вот файл.
ох чую будет много мусора всякого. до кучи стали появляться самооткрывающиеся страницы с предложениями увеличить, удленнить или просто преобрести много всяких разностей... боже. что же они тут у меня делали...

Ссыла на первый лог

спасибо за заботу о нас, непросвещенных

[romul781]

Melek, сделайте лог хайджека (Скачать утилитку hijackthis http://www.trendsecure.com/portal/en...kthis/download установите эту программу на диске (отметив I Accept в пользовательском соглашении). Выбрать в ней "Do a system scan and save a logfile" по окончании сканирования появится текстовый файл hijackthis.log Этот файл разместить на любом файлообменнике (например http://exfile.ru) и пож-та повторите скрипт №3 в авз (но скачайте ее отсюда http://z-oleg.com/secur/avz/download.php) Ваша на аглицком языке + очень старые базы.

[Melek]

Сообщение от romul781

Melek, сделайте лог хайджека (Скачать утилитку hijackthis http://www.trendsecure.com/portal/en...kthis/download установите эту программу на диске (отметив I Accept в пользовательском соглашении). Выбрать в ней "Do a system scan and save a logfile" по окончании сканирования появится текстовый файл hijackthis.log Этот файл разместить на любом файлообменнике (например http://exfile.ru) и пож-та повторите скрипт №3 в авз (но скачайте ее отсюда http://z-oleg.com/secur/avz/download.php) Ваша на аглицком языке + очень старые базы.

спасибо огромное, ещё раз прочла )) полистала форум, как здорово, что вы есть. аж приятно.
я брала ссылку на авз из закрытой темы по вопросу борьбы с вируснёй. новую скачала, но тут дел не впроворот. завтра с утра и начну, спешно напишу ответ. вам тоже полюсик.

ещё на всякий случай добавлю: система у меня на турецком в силу места обитания, а по сему в логах могут проскакивать странные названия ))

[romul781]

Melek, пока выполните это:
Запустите снова avz: Файл-Выполнить скрипт- в открывшееся окно внимательно вставьте текст:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\Program Files\Pivim Multibar\pivim.dll');
 DeleteFile('C:\PROGRA~1\PIVIMM~1\MULTIS~1.DLL');
 DeleteFile('= C:\WINDOWS\System32\netevent.dll');
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 DelBHO('{FCBCCB87-9224-4B8D-B117-F56D924BEB18}');
 DelBHO('{39AA6D29-4236-4F25-A36A-3410EF5283D9}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\System\SISNIC','EventMessageFile');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

затем нажмите "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!!После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck

---------- Добавлено в 22:45 ---------- Предыдущее сообщение было написано в 22:41 ----------

Сообщение от Melek

система у меня на турецком

заметно

[Multifox7]

Melek, попробуйте отключить востановление системы и просканить доктор вебом (др веб куре ИТ)

[Melek]

всем доброго дня. вернулась, окрыленная надеждой ))
новый авз скачала (по ссылке Ромула, однако и он на англицком)

в порядке поступления:
лог второго станд. скрипта после скрипта, написаного ромулом781 (спасибо)
virusinfo_syscheck

Вопрос: почему снимает галочку с диска С: при запуске данного скрипта?

лог третьего скрипта, выполнен сразу после предыдущего
virusinfo_syscure

а так же лог хайджека
хайджек

спасибо!

[romul781]

Сообщение от Melek

однако и он на англицком

переживем

Сообщение от Melek

почему снимает галочку с диска С: при запуске данного скрипта?

не понял вопроса

Сообщение от Melek

virusinfo_syscheck

сейчас проверим

[Melek]

Сообщение от romul781

не понял вопроса

после запуска второго стандартного скрипта слетает пометка с диска С. сбственно так и должно быть, всё жу умные люди делали, однако с диска с? вобщем я черезчур подозрительна

[romul781]

OrgName: OpenDNS, LLC
OrgID: OPEND-2
Address: 199 Fremont St.
Address: 12th Floor
City: San Francisco
StateProv: CA
PostalCode: 94105
Country: US

Это Ваш провайдер?

---------- Добавлено в 12:53 ---------- Предыдущее сообщение было написано в 12:52 ----------

Melek, там галочки вообще не надо ставить. просто выполняйте стандартный скрипт №2

[Melek]

Сообщение от romul781

OrgName: OpenDNS, LLC
OrgID: OPEND-2
Address: 199 Fremont St.
Address: 12th Floor
City: San Francisco
StateProv: CA
PostalCode: 94105
Country: US

Это Ваш провайдер?

что-то говорит мне, что не имею никакого отношения к сан-франциско. ах, если бы

ну а если серьёзно, я даже не знаю, как вам ответить. сильно сомневаюсь, что тутошний провайдер может иметь такие регистрационные данные

[romul781]

вот и хорошо, тогда выполняем это:

1.Запустите HijackThis 2. Нажмите кнопку "Do a system scan only" 3.В открывшемся логе сканирования поставить галочки напротив указанных строк

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O3 - Toolbar: Pivim Multibar - {1BB22D38-A411-4B13-A746-C2A4F4EC7344} - C:\Program Files\Pivim Multibar\pivim.dll (file missing)
O4 - HKCU\..\Run: [Download Managar] C:\WINDOWS\system32\mssys32.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{02E3DB3D-BAA9-44D2-949F-E793EBDE0E52}: NameServer = 208.67.222.222,208.67.220.220
O17 - HKLM\System\CCS\Services\Tcpip\..\{9AC4E387-3430-4676-ABAB-0E38B9A95B7B}: NameServer = 208.67.222.222,208.67.220.220
O17 - HKLM\System\CCS\Services\Tcpip\..\{CA5E4FAC-E430-4B31-AF1F-4C5656733667}: NameServer = 208.67.222.222,208.67.220.220
O17 - HKLM\System\CCS\Services\Tcpip\..\{ED5A972C-10E9-44EB-8A75-844CC20B00AF}: NameServer = 208.67.222.222,208.67.220.220
O17 - HKLM\System\CS1\Services\Tcpip\..\{02E3DB3D-BAA9-44D2-949F-E793EBDE0E52}: NameServer = 208.67.222.222,208.67.220.220
O17 - HKLM\System\CS2\Services\Tcpip\..\{02E3DB3D-BAA9-44D2-949F-E793EBDE0E52}: NameServer = 208.67.222.222,208.67.220.220

и нажать кнопку "Fix сhecked".

Запустите снова avz: Файл-Выполнить скрипт- в открывшееся окно внимательно вставьте текст:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\mssys32.exe');
 DeleteFile('C:\WINDOWS\system32\mssys32.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Download Managar');
 BC_ImportALL;
 ExecuteSysClean;
 BC_DeleteFile('c:\windows\system32\mssys32.exe');
 BC_Activate;
 RebootWindows(true);
end.

затем нажмите "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!!После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck + лог хайджека

и обновите АВЗ!!! Файл-Обновление баз перед выполнением скрипта №2!!!

[Iljeben]

Сообщение от Melek

новый авз скачала (по ссылке Ромула, однако и он на англицком)

Просто так, на будещее. Вы с ближнего зарубежья? Чтоб приобрести родной русский интерфейс. Создаем ярлык программы, Свойства-Ярлык-Объект после AVZ.exe прописываем через пробел lang=ru. И у нас родной руссский интерфейс.

[Melek]

вот и они, обновилось немного с матом, но всё же.

лог второго скрипта после обновления
новый хайджек

а чат прога всё ещё выскакивает...
хотя вот окошки, выбрасывающие сями по себе при запуске появляться перестали.
огромное спасибо, жду следующий наставлений