[likerain]

И еще вопрос (если можно): на машине, на которой все произошло, теперь невозможно открыть почту на mail.ru сначала: "неверное имя пользователя или пароль", затем при попытке восстановить пароль: "пользователя с таким именем не существует"(вообще никаких пользователей не существует), но почта на яндексе работает вполне нормально, другие ресурсы побробовать не хватило времени. Может быть это ошибка IE??? завтра обязательно попробую установить Оперу, но сомневаюсь, что поможет

[Pili]

В AVZ - файл - выполнить скрипт – выделить и скопировать текст ниже (методом Ctrl+C/Ctrl+V или с помощью правой кн. мыши копировать/вставить) в окно выполнения скрипта AVZ и нажать кнопку «Запустить». На время выполнения скрипта выключите антивирус и firewall, отключите интернет.

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\vsnpstd3.exe','');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip выслать на user15802[at]mail.ru, в теле письма указать ссылку на тему, или выложить файл на ifolder.ru или другой файлообменник и дать ссылку на него в ПМ (личку).

Запустите файл hijackthis.exe, нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,

Сохраните текст ниже как файл fix.reg и примените (или полностью удалите в реестре HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2)

Код:

REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0d87d2a3-fee1-11dc-99f5-00e04cc7ffcf}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ba6e0273-2afd-11dc-9856-00e04cc7ffcf}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{cfc00558-f669-11dc-99e4-00e04cc7ffcf}]

Скопируйте приведенный ниже текст в блокнот и сохраните файл как noautorun.reg, примените.

Код:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
"AutoRun"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""

Перезагрузитесь, скачайте и запустите утилиту (не забудьте подключить флешки и др. съемные носители) Flash Drive Disinfector - утилита создает каталоги с именем autorun.inf на дисках - не удаляейте эти каталоги, они защитят носители (в .т.ч флешки) от зловредов типа autorun.inf

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов) >> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP) >> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий) >> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing) >> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола) > Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)! >> Безопасность: разрешен автозапуск программ с CDROM >> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) >> Безопасность: к ПК разрешен доступ анонимного пользователя >> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что из этого не нужно? По службам можно почитать здесь
повторите логи virusinfo_syscheck.zip, hijackthis.zip

[likerain]

Спасибо большое, завтра обязательно этим займусь, как только доберусь до этого ПК, если возникнут вопросы, сразу напишу

[PavelA_VI]

Пароли придется Вам менять на все программы.
Этот зверек ворует их на сторону.

[likerain]

что ж сразу подскажите человеку все-таки далекому от компьютеров, данные коды как использовать, я предположил, что нужно сделать файлы реестра и запустить, но получил ответ системы такой: Не удается импортировать "С:\.....\1_kod.reg": Указанныйц файл не является файлом данных реестра. Возможен импорт только двоичный файлов данных реестра.

Что делаю не так? Как исполнить код?

[Pili]

е удается импортировать "С:\.....\1_kod.reg" »

Оба reg файла, данные выше, работают, проверил, что у вас в 1_kod.reg? Если у вас fix.reg не работает, можете просто удалить в реестре целиком HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2

Как исполнить код? »

Импорт параметров реестра

[PavelA_VI]

Это для того, как выполнить скрипт в AVZ:
http://virusinfo.info/showthread.php?t=7239

Извини Pili, нет под рукой ссылки на Ваш сайт.

[likerain]

что у вас в 1_kod.reg? »

Код: begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\WINDOWS\system32\ntos.exe',''); QuarantineFile('C:\WINDOWS\vsnpstd3.exe',''); DeleteFile('C:\WINDOWS\system32\ntos.exe'); BC_ImportALL; ExecuteSysClean; BC_Activate; RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTyp eAutoRun', 221); RebootWindows(true); end.Компьютер перезагрузится. »

[Pili]

PavelA_VI, ааа... это про скрипт :)

likerain, В общем в пост добавил строчки как запустить скрипт - перед самим скриптом, - есть в правилах - п.4.7
Скрипт надо запускать в AVZ - файл - выполнить скрипт – выделить и скопировать текст ниже (методом Ctrl+C/Ctrl+V или с помощью правой кн. мыши копировать/вставить) в окно выполнения скрипта AVZ и нажать кнопку «Запустить».