Проблема с банером. Логи

[Dezmond]

На раб столе появился банер. Убрать его удалось, сделал логи
Скачать virusinfo_syscure.zip с exfile.ru
Посмотрите, пожалуйста

[Гризлик]

Dezmond, Запустите AVZ В меню Файл--Выполнить скрипт В окошко вставьте текст:

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 DeleteService('dhzae4ahng47');
 DeleteFile('C:\WINDOWS\system32\kussynoozoos.exe');
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\bettit.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','mojoulab');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','mojoulab');
 DeleteFile('C:\Documents and Settings\M_DB\Application Data\cift.exe');
 DeleteFile('C:\Documents and Settings\M_DB\Application Data\cift.exe,explorer.exe,C:\Documents and Settings\Администратор\Application Data\cift.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\cift.exe,C:\Documents and Settings\administrator\Application Data\cift.exe,C:\Documents and Settings\M_DB\ctfmon.exe,C:\DOCUME~1\M_DB\LOCALS~1\Temp\576.exe,explorer.exe,C:\Documents and Settings\M_DB\Application Data\cift.exe');
 DeleteFile('c:\windows\system32\userini.exe');
 DeleteFile('C:\WINDOWS\system32\sysguard.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3768267562-3218047720-2088387314-1009\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Profiling');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Profiling');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-3768267562-3218047720-2088387314-1009\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
 DeleteFile('\\?\globalroot\systemroot\system32\fSAtxpN.exe');
 DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

И нажмите Запустить. Пройзойдет перезагрузка. После перезагрузки выполните в AVZ стандартный скрипт 2 и выложите лог (файл virusinfo_syschek.zip) + лог программы HijackThis

[Dezmond]

Сообщение от Гризлик

Dezmond, Запустите AVZ В меню Файл--Выполнить скрипт В окошко вставьте текст:
...
И нажмите Запустить. Пройзойдет перезагрузка. После перезагрузки выполните в AVZ стандартный скрипт 2 и выложите лог (файл virusinfo_syschek.zip) + лог программы HijackThis

Сделал. Новые логи
Скачать LOG.rar с exfile.ru

[01pump]

Dezmond,

Пофиксить (вот так http://pchelpforum.ru/showpost.php?p=195075&postcount=1 ) в Hijackthis строку:

 
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\fSAtxpN.exe,

Затем выполнить этот скрипт в avz:

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\windows\temp\wpv351275553768.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки выполните в AVZ стандартный скрипт 2 и выложите лог (файл virusinfo_syschek.zip) + лог программы HijackThis

[Dezmond]

Скачать LOG_1.rar с exfile.ru

Теперь в процессах появилось 4 explorer.exe:userini.exe

[01pump]

Dezmond,

Теперь такой скрипт выполните :

 
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\temp\wpv601275553103.exe');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe');
DeleteFileMask('c:\windows\temp ','*.* ',true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3768267562-3218047720-2088387314-1009\Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_USERS','S-1-5-21-3768267562-3218047720-2088387314-1009\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
DeleteFile('C:\WINDOWS\system32\userini.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
BC_DeleteFile('c:\windows\temp\wpv601275553103.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполните в AVZ стандартный скрипт 2 и выложите лог (файл virusinfo_syschek.zip) + лог программы HijackThis

[Dezmond]

Сообщение от 01pump

Dezmond,

Теперь такой скрипт выполните :...
После перезагрузки выполните в AVZ стандартный скрипт 2 и выложите лог (файл virusinfo_syschek.zip) + лог программы HijackThis

Скачать LOG_2.rar с exfile.ru

[01pump]

пофиксить это

O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe

потом вот так http://pchelpforum.ru/showpost.php?p=232467&postcount=9 попробуйте удалить файл c:\windows\temp\wpv471275553585.exe

После перезагрузки выполните в AVZ стандартный скрипт 2 и выложите лог (файл virusinfo_syschek.zip) + лог программы HijackThis

[Dezmond]

а можно файл выложить? не качает по ссылке. в Инете нашел несколько версий и тоже не хочет качать

[01pump]

Dezmond,
5 сек
выложу.

http://exfile.ru/106684

Только через него удаляйте не конкретно :\windows\temp\wpv471275553585.exe а любой похожий файл в данной папке (даже если их там будет два)

[Dezmond]

Сообщение от 01pump

пофиксить это

O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe

потом вот так http://pchelpforum.ru/showpost.php?p=232467&postcount=9 попробуйте удалить файл c:\windows\temp\wpv471275553585.exe

После перезагрузки выполните в AVZ стандартный скрипт 2 и выложите лог (файл virusinfo_syschek.zip) + лог программы HijackThis

http://exfile.ru/106692

Опять 4 explorer'a и wpv*... Темп полностью почистил, после ребута вновь появляется...

[01pump]

Dezmond,

Сообщите есть ли у вас возможность скачать и записать образ LiveCD размером 170 МБ ?

Если есть то это http://pchelpforum.ru/showpost.php?p=69244&postcount=2 попробуйте скачать (170МБ) и пролечиться с него.

[Dezmond]

Сообщение от 01pump

Dezmond,

Сообщите есть ли у вас возможность скачать и записать образ LiveCD размером 170 МБ ?

Если есть то это http://pchelpforum.ru/showpost.php?p=69244&postcount=2 попробуйте скачать (170МБ) и пролечиться с него.

Есть. Сейчас на закачку поставлю. Единственная проблема, сегодня провайдер проводит тех. работы. Инет подлагивает, со скоростью сегодня небольшой напряг, поэтому качаться будет чуть дольше обычного=\

[01pump]

Dezmond,

После лечения сохраните лог проверки Drweb и пришлите его. Затем выполните логи из под удаленного реестра (как по ссылке написано)
И затем в обычной винде сделайте комплект логов AVZ и Hijackthis

[Dezmond]

Так и не смог закачать. Не открывается страница по ссылке. Пытался с 2 провайдеро в разное время,результат один - страница не открывается

Скачать могу только второй лайвСД, без антивиров