Окно перед приветствием Windows - посмотрите пожалуйста лог

[kshlompslan]

Здравствуйте. Постоянно всплывает окно перед приветствием (WindowsXP MediaCenterEdition) - два квадратика на синем фоне вверху и "текст" из неясных символов типа "III" - появилось после очистки с помощью AVZ4. Лог на вебфайле под номером 4275661 пароль 030210 (дата сегодняшняя). Система пока работает. Порекомендуйте пожалуйста как убрать. Спасибо. Жду ответа.

[Multihunter]

А можно скриншот с проблемой здесь привести?

[kshlompslan]

Скриншот не получается сделать, но это у многих такая проблема есть - вот например как это выглядит:
хттп://www.anti-malware.ru/forum/index.php?act=attach&type=post&id=3976
хттп://www.anti-malware.ru/forum/index.php?showtopic=7954

[01pump]

kshlompslan,
В логе есть что удалять. Сейчас скрипт подготовим

[01pump]

kshlompslan,

В обязательном порядке отключить восстановление системы: Пуск-Панель управления- Система-Вкладка "Восстановление системы"-поставить птичку "Отключить восстановление"- применить (процесс может длится минуту).
Только после этого!!! запускаем снова avz: Файл-выполнить скрипт- в открывшееся окно внимательно!!! вставляем текст:

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\System Volume Information\_restore{50726E3C-C2AC-4BCE-AF61-0FEF7BAC6419}\RP2\A0000106.exe:userini.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\twext.exe');
 ExecuteSysClean;
 ExecuteRepair(6);
 ExecuteRepair(7);
 ExecuteRepair(16);
RebootWindows(true);
end.

Затем нажимаем "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!!!!

После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip еще выполните лог в hijackthis и пришлите hijackthis.log (как это сделать читаем тут http://pchelpforum.ru/f26/t6442/#post37758 )

[kshlompslan]

Сделал как научили, вот файлы на вебфайле (пароль 030210): 4276024 и 4276029. Перезагружался без окна. Жду с нетерпением результатов. Спасибо.

[01pump]

kshlompslan,


Панель управления-Администрирование-Службы
Открываем службы и ищем такую запись
FCI - Unknown owner - C:\WINDOWS\system32\svchost.exe:ext.exe

Смотрим в каком режме она стоит. Если в Авто и Работает , то отключаем её и переводим в режим "Остановлено".
Затем запускаем Hijackthis кнопкой "Open the Misc Tool Section" далее "Delete at NT Service" и в открывшейся строке вставьте C:\WINDOWS\system32\svchost.exe:ext.exe и нажмите ОК

Затем закройте утилитку и выполните в avz следующий скрипт

 
var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else 
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
begin 
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.

После выполнения перезагрузитесь.
После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip еще выполните лог в hijackthis и пришлите hijackthis.log

[kshlompslan]

Отключил и остановил службу, но при вставке пути "C:\WINDOWS\system32\svchost.exe:ext.exe" Hijackthis ругается, что в реестре это не найдено. Что делать?

[01pump]

kshlompslan,
Значит выполните в avz скрипт из моего сообщения #7 и еще этот скрипт

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true); 
DeleteService('FCI'); 
DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe'); 
ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки повторите комплект логов.

[kshlompslan]

Сделал всё по инструкции. Между перезагрузками опять было это чёртово окно. Вот логи: 4277217 и 4277218 пароль 040210 (сегодняшний день). Спасибо. Жду информации.

[01pump]

kshlompslan,
Вспоминайте что вы удаляли с помощью авз. С чего начались ваши проблемы?

Всё что нужно (и можно) было, мы удалили.

[kshlompslan]

Удалил процесс explorer.exe:userini.exe. После этого началось...

[01pump]

kshlompslan,

Как удалили? Удалили только этот файл?

[01pump]

kshlompslan,

В avz:Сервис- Поиск данных в реестре. В строке "Образец" ввести userini.exe
Во вкладке "Параметры поиска" поставить еще одну птичку в "HKEY_USERS" , затем снова перейти во вкладку "Найденные ключи" и нажать "ПУСК" По окончании "Сохранить протокол" и прислать его.

[kshlompslan]

Долго не отвечал - был в командировке. Сейчас попробую сделать...

---------- Добавлено в 09:19 ---------- Предыдущее сообщение было написано в 08:43 ----------

Сделал: http://www.webfile.ru/4284977 без пароля. Спасибо.