+ к вопросу выше
Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).
Подробнее читайте в руководстве (http://safezone.cc/forum/showpost.php?p=134172&postcount=2)
Обнаруженные ключи в реестре: 4
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
+ Пожалуйста посмотрите, что прописано в свойствах ярлыка
C:\WINDOWS\system32\runkgb.lnk
---------------------------------
Remote Administrator - not-a-virus:RemoteAdmin.Win32.RAdmin.22,
Remote Office Manager - not-a-virus:RemoteAdmin.Win32.ROM.ap,
not-a-virus:Server-FTP.Win32.SFH.a, а также программа
C:\Program Files\Common Files\Hide Wizard
если вам не знакомы, то для их удаления выполните скрипт (если что-то из этого ваше предупредите и уберу из скрипта).
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/forum/showthread.php?t=18577).
Выполните скрипт в АВЗ (http://safezone.cc/forum/showthread.php?t=10) (Файл - Выполнить скрипт):
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\rebuild.exe','');
QuarantineFile('C:\WINDOWS\system32\runkgb.lnk','');
QuarantineFileF('C:\Program Files\radmin\','*', true,'',0 ,0);
QuarantineFile('C:\WINDOWS\system32\ROMwln.dll','');
DeleteFile('C:\WINDOWS\system32\ROMwln.dll');
DeleteFileMask('C:\Program Files\radmin\', '*', true);
DeleteDirectory('C:\Program Files\radmin\', '');
QuarantineFileF('C:\Program Files\Common Files\Hide Wizard\','*', true,'',0 ,0);
DeleteFileMask('C:\Program Files\Common Files\Hide Wizard\', '*', true);
DeleteDirectory('C:\Program Files\Common Files\Hide Wizard\', '');
QuarantineFileF('C:\Program Files\hfs','*', true,'',0 ,0);
DeleteFileMask('C:\Program Files\hfs', '*', true);
DeleteDirectory('C:\Program Files\hfs', '');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
после выполнения скрипта компьютер перезагрузится.
после перезагрузки выполнить второй скрипт:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Полученный архив отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.
Отключите AVZPM
Установите SP3 (http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru) (может потребоваться активация) + все новые обновления (http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru) для Windows
Установите Internet Explorer 8 (http://www.microsoft.com/rus/windows/internet-explorer/default.aspx) (даже если им не пользуетесь)
Сделайте новые логи virusinfo_syscheck.zip; log.txt, info.txt.