[решено] Вирусы в :C:\WINDOWS\system32\.....C:\System Volume Information\_restore....

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

Вирусы в :C:\WINDOWS\system32\.....C:\System Volume Information\_restore....

Здравствуйте, Ув. Хелперы)))
Главная проблема по которой я начала поиски помощи - это то, что мой комп. уж больно медленно работает и ....вирусы...( Чтобы вам все стало ясно и понятно почитайте пожалуйста здесь
http://forum.oszone.net/showthread.p...68#post1007768
Дело в том что я не в том разделе начала тему поэтому, думаю не стоит здесь повторяться.
И вот еще здесь приложен файл. Зделала все по инструкции.
Зараннее Всем Спасибо) Очень Жду вашей Помощи :jump: :)

Цитата:

Цитата Ylyana

Зделала все по инструкции. »

Еще раз прочтите инструкцию.

Думаю , теперь правильно :unsure:
Спасибо, за терпение )

Ylyana, Здравствуйте. Деинсталлируйте Target Marketing Agency (C:\Program Files\Common Files\Target Marketing Agency) и AskBar (С:\Program Files\AskBarDis\)
проверьте на virustotal.com файл D:\christmas\Christmas.exe и дайте ссылку на рез-т проверки.

Запустите AVZ, далее в меню файл - выполнить скрипт, выделите и скопируйте текст ниже в окно выполнения скрипта AVZ, временно выключите антивирус, firewall и другое защитное программное обеспечение, отключите интернет (или включите временно брандмауэр windows), нажмите кнопку «Запустить».

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 QuarantineFile('c:\progra~1\common~1\target~1\tmagent\tmasrv.exe','');

 QuarantineFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll','');

 QuarantineFile('D:\christmas\Christmas.exe','');

 QuarantineFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll','');

 DeleteFile('C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll');

 DeleteFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll');

 DeleteFile('c:\progra~1\common~1\target~1\tmagent\tmasrv.exe');

 DelBHO('{3041d03e-fd4b-44e0-b742-2d9b88305f98}');

 DelBHO('{201f27d4-3704-41d6-89c1-aa35e39143ed}');

BC_ImportDeletedList;

ExecuteSysClean;

BC_Activate;

ExecuteWizard('TSW', 1, 1, true);

ExecuteWizard('BT', 1, 1, true);

RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);

RebootWindows(true);

end.

Запустите HiJackThis, нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll

O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll

Скачайте Malwarebytes' Anti-Malware здесь, здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (Удалить выделенные). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).

Включите AVZM и повторите логи

Thanks a lot , Pili!

Цитата:

Цитата Pili

проверьте на virustotal.com файл D:\christmas\Christmas.exe и дайте ссылку на рез-т проверки. »

http://www.virustotal.com/ru/reanali...c4475e1c510aa6
Вообще-то эта папка не очень то мне и нужна так что я ее могу смело удалить если это нужно.

Цитата:

Цитата Pili

Запустите HiJackThis, нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll
O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll »

Последних двух строк в списке НЕ БЫЛО!

А вот результата проверки Malwarebytes' Anti-Malware

Заражено модулей в памяти: 0
Заражено ключей реестра: 0
Заражено значений реестра: 0
Заражено параметров реестра: 1
Заражено папок: 0
Заражено файлов: 4

Заражено процессов в памяти:
(Вредоносные программы не обнаружены)

Заражено модулей в памяти:
(Вредоносные программы не обнаружены)

Заражено ключей реестра:
(Вредоносные программы не обнаружены)

Заражено значений реестра:
(Вредоносные программы не обнаружены)

Заражено параметров реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogOff (Hijack.StartMenu) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Заражено папок:
(Вредоносные программы не обнаружены)

Заражено файлов:
D:\9860ad77d5ad121493\Torrents.Downlonds\Keygen 5.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
D:\9860ad77d5ad121493\Torrents.Downlonds\Winamp 5.541 Build 2189\Keygen 5.exe (Spyware.OnlineGames) -> Quarantined and deleted successfully.
D:\9860ad77d5ad121493\Torrents.Downlonds\Nero 8.3.6.0\Activation\keygen.exe (Trojan.Agent) -> Quarantined and deleted successfully.
D:\9860ad77d5ad121493\Torrents.Downlonds\Activation\keygen.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Сделала все как вы сказали :) Спасибо
Ожидаю Вердикт :)

Цитата:

Цитата Ylyana

Вообще-то эта папка не очень то мне и нужна так что я ее могу смело удалить если это нужно. »

Если не очень нужно можете удалить, если нужно, отправьте файл в вирлаб на проверку здесь и/или Отправьте файлы здесь
Как себя чувствует компьютер?

Цитата:

Цитата Ylyana

Ожидаю Вердикт »

Цитата:

Цитата Pili

Включите AVZM и повторите логи »

По-моему что-то пошло не так.)
AVZ не захотел обновляться..
Здесь прикреплено два архива, но в папке LOG их три.Один не влазит сюда - объем 1мб.
Может заново скачать AVZ и все проделать снова?

Цитата:

Цитата Ylyana

Здесь прикреплено два архива, но в папке LOG их три.Один не влазит сюда - объем 1мб. »

это не лог, это карантин, он не нужен

Цитата:

Цитата Ylyana

Может заново скачать AVZ и все проделать снова? »

Не надо. Можете выполнить скрипт по удалению драйверов AVZ

Код:

begin

SetAVZPMStatus(false);

ExecuteStdScr(6);

RebootWindows(true); 

end.

А вот лог hijackthis забыли, сделайте.
По логам AVZ ничего плохого. Проблемы ещё наблюдаются?

Спасибо!

Цитата:

Цитата Pili

Проблемы ещё наблюдаются? »

Ну, пока трудно сказать...Вроде бы стало лучше... Уже меньше ..., но все же томозит...Часто выскакивает окошко "эта программа не отвечает" особенно когда ему задаешь много дейсвий одновременно...не знаю..но мне кажется, что главная причина все же не вирусы, а просто ЭТО ТАКОЙ КОМП!И вот так вот он не очень быстро работает!Он всегда таким был, изначально. (хоть и вирусы у меня тоже всегда были в несметном количестве) ) Как вы считаете возможен такой вариант?( я уж было подумала может у него одно ядро работает...где-то я слашала такую историю..)

по логу HJT тоже чисто.

Цитата:

Цитата Ylyana

Цитата Pili:
Проблемы ещё наблюдаются? »
Ну, пока трудно сказать... »

т.е. вирусы в :C:\WINDOWS\system32\.....C:\System Volume ещё есть и проблема не решена?

Цитата:

Цитата Ylyana

Уже меньше ..., но все же томозит...Часто выскакивает окошко "эта программа не отвечает" особенно когда ему задаешь много дейсвий одновременно...не знаю..но мне кажется, что главная причина все же не вирусы, а просто ЭТО ТАКОЙ КОМП! »

У вас сборка windows и видимо кривая, рекомендую не использовать сборки, это зло.

Цитата:

Цитата Ylyana

я уж было подумала может у него одно ядро работает »

Нет, у вас 2 ядра работают, судя по логам AVZ
Попробуйте отключить неиспользуемые службы, по службам можно почитать здесь
Если вы уверены, что у вас остались вирусы, можем продолжить лечение.

Скачайте Malwarebytes' Anti-Malware здесь, здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (Удалить выделенные). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).

Скачайте SDFix здесь или здесь, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat из папки SDFix - подтвердить, нажав "Y"), после окончания сканирования скопируйте (Ctrl+A, Ctrl+C) текст из C:\Report.txt и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь и здесь

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска.
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (на англ.яз.) и здесь (на русском)

Скачайте OTListIt2, сохраните на рабочий стол и запустите, выберите File Age: 90 Days, поставьте галочку Scan All Users, LOP Check, Purity Check и в Extra Registry - Use Safe list. Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.

Спасибо.Сделаю.
Но вот тут еще одна проблемка появилась.Очень сильно начал тормозить Интернет. Любая страничка открывается по 5-10 минут!
Я поменяла провайдера - то же самое.Проблема может быть в компъютере???
На speedtest.com скорость показывает нормальную от 2000- 4500 kbit\сек

Ylyana, логи сделайте.

Цитата:

Цитата Ylyana

Проблема может быть в компъютере??? »

может.

Цитата:

Цитата Pili

У вас сборка windows и видимо кривая, рекомендую не использовать сборки »

Сделаете логи и видно будет, есть вирусы или нет. Ещё сделайте новый лог virusinfo_syscheck.zip (2-ой стандартный скрипт AVZ) и лог hijackthis

Malwarebytes' Anti-Malware 1.33
Версия базы данных: 1714
Windows 5.1.2600 Service Pack 3

02.02.2009 17:22:13
mbam-log-2009-02-02 (17-22-13).txt

Тип проверки: Полная (C:\|D:\|)
Проверено объектов: 99059
Прошло времени: 26 minute(s), 4 second(s)

Заражено процессов в памяти: 0
Заражено модулей в памяти: 0
Заражено ключей реестра: 0
Заражено значений реестра: 0
Заражено параметров реестра: 0
Заражено папок: 0
Заражено файлов: 2

Заражено процессов в памяти:
(Вредоносные программы не обнаружены)

Заражено модулей в памяти:
(Вредоносные программы не обнаружены)

Заражено ключей реестра:
(Вредоносные программы не обнаружены)

Заражено значений реестра:
(Вредоносные программы не обнаружены)

Заражено параметров реестра:
(Вредоносные программы не обнаружены)

Заражено папок:
(Вредоносные программы не обнаружены)

Заражено файлов:
D:\eMule\eMule0.49b-Installer1.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
D:\eMule\Uninstall.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

ComboFix 09-02-01.01 - admin 2009-02-02 20:29:49.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1251.1.1049.18.2047.1205 [GMT 2:00]
Running from: c:\documents and settings\admin\Рабочий стол\ComboFix.exe
AV: ESET NOD32 Antivirus 3.0 *On-access scanning disabled* (Updated)
* Created a new restore point

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\program files\Common Files\Target Marketing Agency
c:\program files\Common Files\Target Marketing Agency\TMAgent\license.txt
c:\program files\Common Files\Target Marketing Agency\TMAgent\tma-setup.exe
c:\program files\Common Files\Target Marketing Agency\TMAgent\Uninstaller.exe
c:\windows\system32\Cache

.
((((((((((((((((((((((((( Files Created from 2009-01-02 to 2009-02-02 )))))))))))))))))))))))))))))))
.

2009-02-02 18:11 . 2009-02-02 18:11 <DIR> d-------- c:\windows\ERUNT
2009-02-02 17:27 . 2009-02-02 18:27 <DIR> d-------- C:\SDFix
2009-02-02 16:16 . 2009-01-14 16:11 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2009-02-02 16:16 . 2009-01-14 16:11 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2009-02-01 02:01 . 2009-02-01 02:53 <DIR> d-------- c:\documents and settings\admin\Application Data\Winamp
2009-01-28 18:22 . 2009-01-28 18:22 11,264 --a------ c:\windows\system32\drivers\uziznzyw.sys
2009-01-28 14:16 . 2009-01-28 14:16 <DIR> d-------- c:\documents and settings\All Users\Application Data\Malwarebytes
2009-01-28 14:16 . 2009-01-28 14:16 <DIR> d-------- c:\documents and settings\admin\Application Data\Malwarebytes
2009-01-26 20:13 . 2009-01-26 20:13 304,528 --a------ c:\windows\system32\appdrvrem01.exe
2009-01-25 20:14 . 2009-01-25 20:14 2,915,944 --a------ c:\windows\system32\drivers\appdrv01.sys
2009-01-25 18:16 . 2009-01-25 18:16 <DIR> d-------- c:\documents and settings\admin\Application Data\XRay Engine
2009-01-24 13:31 . 2009-01-24 23:19 89,583,648 --ahs---- c:\windows\system32\drivers\fidbox.dat
2009-01-24 13:31 . 2009-01-24 23:19 1,051,928 --ahs---- c:\windows\system32\drivers\fidbox.idx
2009-01-23 23:11 . 2009-01-23 23:11 <DIR> d-------- C:\inetpub
2009-01-22 00:13 . 2009-01-22 00:13 <DIR> d-------- c:\program files\Opera
2009-01-18 23:30 . 2009-01-19 02:41 <DIR> d-------- c:\documents and settings\admin\DoctorWeb
2009-01-18 01:44 . 2009-01-18 01:46 1,341,277 --a------ C:\100_1495.jpg
2009-01-14 19:27 . 2007-06-29 14:47 34,304 --a------ c:\windows\system32\drivers\AmdLLD.sys
2009-01-13 11:59 . 2008-06-20 13:59 361,600 -----c--- c:\windows\system32\dllcache\tcpip.sys
2009-01-13 11:59 . 2008-06-20 19:45 247,296 -----c--- c:\windows\system32\dllcache\mswsock.dll
2009-01-13 11:59 . 2008-06-20 13:16 225,856 -----c--- c:\windows\system32\dllcache\tcpip6.sys
2009-01-13 11:59 . 2008-06-20 19:45 147,968 -----c--- c:\windows\system32\dllcache\dnsapi.dll
2009-01-13 01:14 . 2009-01-13 01:14 <DIR> d-------- c:\documents and settings\All Users\Application Data\PC Suite
2009-01-13 01:14 . 2009-01-13 01:14 <DIR> d-------- c:\documents and settings\admin\Application Data\PC Suite
2009-01-13 01:12 . 2008-03-21 13:57 14,640 --------- c:\windows\system32\spmsgXP_2k3.dll
2009-01-13 01:12 . 2009-01-13 01:12 0 --ah----- c:\windows\system32\drivers\MsftWdf_Kernel_01007_Coinstaller_Critical.Wdf
2009-01-13 01:12 . 2009-01-13 01:12 0 --ah----- c:\windows\system32\drivers\Msft_Kernel_ccdcmb_01007.Wdf
2009-01-13 01:02 . 2009-01-13 01:02 <DIR> d-------- c:\program files\PC Connectivity Solution
2009-01-13 01:02 . 2009-01-13 01:02 <DIR> d-------- c:\program files\DIFX
2009-01-13 01:02 . 2008-09-15 07:29 1,112,288 --a------ c:\windows\system32\wdfcoinstaller01007.dll
2009-01-13 01:02 . 2008-09-15 07:56 659,968 --a------ c:\windows\system32\nmwcdcocls.dll
2009-01-13 01:02 . 2008-09-15 07:56 22,016 --a------ c:\windows\system32\drivers\ccdcmbo.sys
2009-01-13 01:02 . 2008-08-26 09:26 18,816 --a------ c:\windows\system32\drivers\pccsmcfd.sys
2009-01-13 01:02 . 2008-09-15 07:56 17,664 --a------ c:\windows\system32\drivers\ccdcmb.sys
2009-01-13 01:02 . 2008-09-15 07:56 8,064 --a------ c:\windows\system32\drivers\usbser_lowerfltj.sys
2009-01-13 01:02 . 2008-09-15 07:56 8,064 --a------ c:\windows\system32\drivers\usbser_lowerflt.sys
2009-01-13 01:00 . 2009-01-13 01:00 <DIR> d-------- c:\documents and settings\All Users\Application Data\Installations
2009-01-13 00:58 . 2008-08-24 16:38 26,112 --a------ c:\windows\system32\drivers\usbser.sys
2009-01-13 00:58 . 2009-01-13 00:58 0 --ah----- c:\windows\system32\drivers\Msft_Kernel_ccdcmb_01005.Wdf
2009-01-13 00:57 . 2009-01-13 00:57 0 --ah----- c:\windows\system32\drivers\MsftWdf_Kernel_01005_Coinstaller_Critical.Wdf
2009-01-11 08:18 . 2009-01-11 08:18 <DIR> d-------- c:\program files\Microsoft CAPICOM 2.1.0.2
2009-01-10 20:30 . 2009-01-10 20:29 720,896 --a------ c:\windows\iun6002ev.exe
2009-01-09 20:25 . 2009-01-30 22:58 <DIR> d-------- c:\documents and settings\admin\Application Data\skypePM
2009-01-09 20:25 . 2009-01-09 20:25 56 --ah----- c:\windows\system32\ezsidmv.dat
2009-01-09 20:21 . 2009-02-02 18:43 <DIR> d-------- c:\documents and settings\admin\Application Data\Skype
2009-01-09 20:19 . 2009-01-09 20:19 <DIR> dr------- c:\program files\Skype
2009-01-09 20:19 . 2009-01-09 20:19 <DIR> d-------- c:\program files\Common Files\Skype
2009-01-09 19:56 . 2008-08-24 16:38 16,384 --a------ c:\windows\system32\ipsink.ax
2009-01-09 19:56 . 2008-08-24 16:38 15,232 --a------ c:\windows\system32\drivers\StreamIP.sys
2009-01-09 19:56 . 2008-08-24 16:38 10,880 --a------ c:\windows\system32\drivers\NdisIP.sys
2009-01-09 19:56 . 2008-08-24 16:38 5,504 --a------ c:\windows\system32\drivers\MSTEE.sys
2009-01-09 19:55 . 2008-08-24 16:38 85,248 --a------ c:\windows\system32\drivers\NABTSFEC.sys
2009-01-09 19:55 . 2008-08-24 16:38 19,200 --a------ c:\windows\system32\drivers\WSTCODEC.SYS
2009-01-09 19:55 . 2008-08-24 16:38 17,024 --a------ c:\windows\system32\drivers\CCDECODE.sys
2009-01-09 19:55 . 2008-08-24 16:38 11,136 --a------ c:\windows\system32\drivers\SLIP.sys
2009-01-09 19:50 . 2009-01-09 19:50 127,034 -r------- c:\windows\bwUnin-8.1.1.50-8876480SL.exe
2009-01-09 19:48 . 2009-01-09 20:19 <DIR> d-------- c:\documents and settings\All Users\Application Data\Skype
2009-01-09 19:44 . 2009-01-09 19:44 <DIR> d-------- c:\documents and settings\All Users\Application Data\Logitech
2009-01-09 19:44 . 2009-01-09 19:44 <DIR> d-------- c:\documents and settings\All Users\Application Data\Logishrd
2009-01-09 19:43 . 2009-01-09 19:43 <DIR> d-------- c:\program files\Logitech
2009-01-09 19:43 . 2009-01-09 19:53 <DIR> d-------- c:\program files\Common Files\LogiShrd
2009-01-05 16:52 . 2009-01-05 16:52 <DIR> d-------- c:\program files\Foxit Software
2009-01-05 16:52 . 2009-01-05 16:52 <DIR> d-------- c:\program files\AskBarDis
2009-01-05 16:52 . 2009-01-05 16:52 <DIR> d-------- c:\documents and settings\admin\Application Data\Foxit
2009-01-05 16:30 . 2009-01-05 16:30 <DIR> d-------- c:\program files\ESET
2009-01-05 16:30 . 2009-01-05 16:30 <DIR> d-------- c:\documents and settings\All Users\Application Data\ESET

.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-02-02 18:27 --------- d-----w c:\documents and settings\admin\Application Data\uTorrent
2009-02-02 16:43 --------- d-----w c:\documents and settings\admin\Application Data\Orbit
2009-01-26 15:46 --------- d-----w c:\program files\Google
2009-01-25 15:59 --------- d-----w c:\program files\GSC World Publishing
2009-01-23 20:46 --------- d-----w c:\program files\PowerOff
2009-01-17 23:04 --------- d-----w c:\program files\MyCentria
2009-01-14 11:44 --------- d-----w c:\documents and settings\All Users\Application Data\Microsoft Help
2008-12-30 12:22 --------- d-----w c:\documents and settings\admin\Application Data\rambler.ru
2008-12-27 17:56 --------- d-----w c:\documents and settings\admin\Application Data\HP
2008-12-27 17:42 --------- d-----w c:\documents and settings\All Users\Application Data\WEBREG
2008-12-27 17:36 --------- d-----w c:\documents and settings\All Users\Application Data\Hewlett-Packard
2008-12-27 17:24 --------- d-----w c:\program files\HP
2008-12-27 17:24 --------- d-----w c:\documents and settings\All Users\Application Data\HPSSUPPLY
2008-12-27 17:24 --------- d-----w c:\documents and settings\admin\Application Data\HPAppData
2008-12-27 17:20 --------- d-----w c:\documents and settings\All Users\Application Data\HP
2008-12-27 17:17 --------- d-----w c:\documents and settings\All Users\Application Data\HP Product Assistant
2008-12-27 17:16 --------- d-----w c:\program files\Common Files\HP
2008-12-27 17:14 --------- d-----w c:\program files\Hewlett-Packard
2008-12-27 17:14 --------- d-----w c:\program files\Common Files\Hewlett-Packard
2008-12-22 17:27 --------- d-----w c:\program files\Windows Media Player(2)
2008-12-22 17:27 --------- d-----w c:\program files\Windows Media Connect 2
2008-12-20 15:29 --------- d-----w c:\program files\S Luna KM-2080
2008-12-20 13:08 --------- d-----w c:\documents and settings\admin\Application Data\Thinstall
2008-12-20 12:12 --------- d-----w c:\program files\DivX
2008-12-16 08:58 --------- d-----w c:\documents and settings\admin\Application Data\Nero
2008-12-16 08:57 --------- d-----w c:\program files\Nero
2008-12-16 08:57 --------- d-----w c:\program files\Common Files\Nero
2008-12-16 08:57 --------- d-----w c:\documents and settings\All Users\Application Data\Nero
2008-12-15 21:26 --------- d-----w c:\program files\OpenOffice.org 3
2008-12-15 21:18 --------- d-----w c:\program files\MSBuild
2008-12-15 21:18 --------- d-----w c:\program files\Microsoft Works
2008-12-15 21:17 --------- d-----w c:\program files\Microsoft.NET
2008-12-15 20:06 --------- d--h--w c:\program files\InstallShield Installation Information
2008-12-15 20:06 --------- d-----w c:\program files\Netropa
2008-12-15 19:45 --------- d-----w c:\documents and settings\admin\Application Data\Media Player Classic
2008-12-12 18:41 --------- d-----w c:\documents and settings\All Users\Application Data\Apple Computer
2008-12-12 16:15 --------- d-----w c:\documents and settings\admin\Application Data\OpenOffice.org
2008-12-12 16:06 --------- d-----w c:\program files\Java
2008-12-12 15:36 --------- d-----w c:\documents and settings\admin\Application Data\ICQ
2008-12-12 15:26 --------- d-----w c:\program files\Common Files\Adobe
2008-12-12 14:10 --------- d-----w c:\documents and settings\All Users\Application Data\Kaspersky Lab Setup Files
2008-12-12 13:53 --------- d-----w c:\documents and settings\admin\Application Data\GrabPro
2008-12-11 17:24 --------- d-----w c:\documents and settings\admin\Application Data\DeepBurner
2008-12-11 10:57 333,952 ----a-w c:\windows\system32\drivers\srv.sys
2008-12-04 21:22 --------- d-----w c:\documents and settings\admin\Application Data\Logitech
2008-12-04 21:20 118,784 ------r c:\windows\bwUnin-7.2.0.137-8876480SL.exe
2008-12-04 21:20 --------- d-----w c:\program files\MUSICMATCH
2008-12-04 21:20 --------- d-----w c:\program files\Common Files\InstallShield
2008-12-04 21:19 --------- d-----w c:\program files\Common Files\Logitech
2008-12-03 10:07 1,571,840 ----a-w c:\windows\system32\SfcFiles.dll
2008-12-03 10:02 219,648 ----a-w c:\windows\system32\uxtheme.dll
2008-12-03 09:58 --------- d-----w c:\program files\AudioShell
2008-12-03 09:54 717,296 ----a-w c:\windows\system32\drivers\sptd.sys
2008-12-03 09:54 --------- d-----w c:\program files\Paint.NET
2008-12-03 09:52 --------- d-----w c:\program files\Common Files\Java
2008-12-03 09:48 --------- d-----w c:\program files\TaskSwitchXP
2008-12-03 09:48 --------- d-----w c:\program files\Photo Story 3 for Windows
2008-11-24 14:32 57,344 ----a-w c:\windows\system32\ff_vfw.dll
.

------- Sigcheck -------

2008-04-14 19:40 581632 884de990c498d77c28f8608e09d4dfe1 c:\windows\system32\user32.dll
2008-04-14 19:40 581632 884de990c498d77c28f8608e09d4dfe1 c:\windows\system32\dllcache\user32.dll

2008-04-15 14:00 1520640 79e70da275556696f4b821d2d1b7f22b c:\windows\explorer.exe
2008-04-15 14:00 1520640 79e70da275556696f4b821d2d1b7f22b c:\windows\system32\dllcache\explorer.exe

2008-04-15 14:00 37376 0de18690e4223998e471048889f09b8b c:\windows\system32\ctfmon.exe
2008-04-15 14:00 37376 0de18690e4223998e471048889f09b8b c:\windows\system32\dllcache\ctfmon.exe
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-15 37376]
"LDM"="d:\desktop messenger\8876480\Program\LogitechDesktopMessenger.exe" [2009-01-09 67128]
"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\program files\Common Files\Nero\Lib\NMIndexStoreSvr.exe" [2008-06-24 1840424]
"ICQ"="d:\программы\ICQ6.5\ICQ.exe" [2008-11-30 172792]
"uTorrent"="d:\программы\uTorrent.exe" [2008-10-08 270128]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2008-12-20 24262440]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TaskSwitchXP"="c:\program files\TaskSwitchXP\TaskSwitchXP.exe" [2007-03-09 62976]
"MULTIMEDIA KEYBOARD"="c:\program files\Netropa\Multimedia Keyboard\MMKeybd.exe" [2003-09-30 425984]
"NeroFilterCheck"="c:\program files\Common Files\Nero\Lib\NeroCheck.exe" [2008-06-19 570664]
"NBKeyScan"="c:\program files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2008-06-08 2221352]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-03-11 49152]
"egui"="c:\program files\ESET\ESET NOD32 Antivirus\egui.exe" [2008-06-10 1447168]
"LogitechCommunicationsManager"="c:\program files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe" [2007-02-08 488984]
"LogitechQuickCamRibbon"="c:\program files\Logitech\QuickCam10\QuickCam10.exe" [2007-02-08 774168]
"amd_dc_opt"="d:\программы\amd_dc_opt.exe" [2007-07-23 77824]
"RTHDCPL"="RTHDCPL.EXE" [2008-04-10 c:\windows\RTHDCPL.EXE]
"Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2005-03-10 c:\windows\KHALMNPR.Exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-15 37376]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"IE7_011"="shell32" [X]
"IE7_012"="advpack.dll" [2008-10-16 c:\windows\system32\advpack.dll]
"IE7_013"="rebuild.exe" [2007-11-01 c:\windows\system32\rebuild.exe]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableUnicastResponsesToMulticastBroadcast"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"d:\\Программы\\Orbitdownloader\\orbitdm.exe"=
"c:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"d:\\программы\\ICQ6.5\\ICQ.exe"=
"d:\\программы\\Orbitdownloader\\orbitnet.exe"=
"d:\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Program Files\\GSC World Publishing\\С.Т.А.Л.К.Е.Р. - Чистое Небо\\bin\\xrEngine.exe"=
"c:\\Program Files\\GSC World Publishing\\С.Т.А.Л.К.Е.Р. - Чистое Небо\\bin\\dedicated\\xrEngine.exe"=
"c:\\Program Files\\Opera\\opera.exe"=
"c:\\Program Files\\Skype\\Phone\\Skype.exe"=
"d:\\программы\\utorrent.exe"=

R1 appdrv01;Application Driver (01);c:\windows\system32\drivers\appdrv01.sys [2009-01-25 2915944]
R1 epfwtdir;epfwtdir;c:\windows\system32\drivers\epfwtdir.sys [2008-06-10 34312]
R1 msikbd2k;Multimedia Keyboard Filter Driver;c:\windows\system32\drivers\Msikbd2k.sys [2008-12-15 6656]
R1 uziznzyw;AVZ-RK Kernel Driver;c:\windows\system32\drivers\uziznzyw.sys [2009-01-28 11264]
R2 ekrn;Eset Service;c:\program files\ESET\ESET NOD32 Antivirus\ekrn.exe [2008-06-10 468224]
R2 nhksrv;Netropa NHK Server;c:\program files\Netropa\Multimedia Keyboard\nhksrv.exe [2008-12-15 28672]
S2 appdrvrem01;Application Driver Auto Removal Service (01);c:\windows\System32\appdrvrem01.exe svc --> c:\windows\System32\appdrvrem01.exe svc [?]
S3 vmmouse;VMware Pointing Device;c:\windows\system32\drivers\vmmouse.sys [2008-12-03 11696]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
HPZ12 REG_MULTI_SZ Pml Driver HPZ12 Net Driver HPZ12
hpdevmgmt REG_MULTI_SZ hpqcxs08 hpqddsvc
.
- - - - ORPHANS REMOVED - - - -

Toolbar-ITBar7Position - (no file)
WebBrowser-{3041D03E-FD4B-44E0-B742-2D9B88305F98} - c:\program files\AskBarDis\bar\bin\askBar.dll
HKCU-Run-swg - c:\program files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
HKCU-Run-ChristmasTree - d:\christmas\Christmas.exe
HKLM-Run-KXT01_Keyboard - d:\4a66~1\KXT01KB.EXE
HKLM-Run-KXT01_KPDrv4XP - d:\4a66~1\KPDrv4XP.exe

.
------- Supplementary Scan -------
.
uStart Page = about:blank
mStart Page = about:blank
IE: &Download by Orbit - d:\программы\Orbitdownloader\orbitmxt.dll/201
IE: &Grab video by Orbit - d:\программы\Orbitdownloader\orbitmxt.dll/204
IE: &Экспорт в Microsoft Excel - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000
IE: Do&wnload selected by Orbit - d:\программы\Orbitdownloader\orbitmxt.dll/203
IE: Down&load all by Orbit - d:\программы\Orbitdownloader\orbitmxt.dll/202
Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - d:\desktop messenger\8876480\Program\GAPlugProtocol-8876480.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-02-02 20:31:09
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
.
--------------------- LOCKED REGISTRY KEYS ---------------------

[HKEY_USERS\S-1-5-21-436374069-861567501-1177238915-1006\Software\Microsoft\SystemCertificates\AddressBook*]
@Allowed: (Read) (RestrictedCode)
@Allowed: (Read) (RestrictedCode)
.
--------------------- DLLs Loaded Under Running Processes ---------------------

- - - - - - - > 'winlogon.exe'(728)
c:\windows\system32\SETUPAPI.dll
c:\windows\system32\Ati2evxx.dll
c:\windows\system32\COMRes.dll
c:\windows\system32\cscui.dll

- - - - - - - > 'lsass.exe'(784)
c:\windows\system32\setupapi.dll
.
Completion time: 2009-02-02 20:32:25
ComboFix-quarantined-files.txt 2009-02-02 18:32:22

Pre-Run: 21,608,902,656 байт свободно
Post-Run: 21,652,955,136 байт свободно

262 --- E O F --- 2009-01-14 11:44:32

Цитата:

Цитата Pili

Деинсталлируйте Target Marketing Agency (C:\Program Files\Common Files\Target Marketing Agency) и AskBar (С:\Program Files\AskBarDis\) »

говорил вам раньше, вы эти программы сами деинсталлировали? Судя по логу - нет
c:\program files\MyCentria
c:\program files\AskBarDis
Папки остались. Деинсталлируйте эти программы.
Файлы

Цитата:

c:\windows\system32\user32.dll
c:\windows\system32\ctfmon.exe

проверьте на virustotal.com
Жду остальные логи.

C:\Qoobox\Quarantine\C\Program Files\Common Files \Target Marketing Agency - вот здесь расположен ..Можно удалить все это смело?
AskBar (С:\Program Files\AskBarDis\) - удалила
c:\program files\MyCentria - удалила

Только архивом получается прикрепить..Ничего?

http://www.virustotal.com/ru/reanali...ee2129b7678ba0
http://www.virustotal.com/ru/reanali...5d548f145c26ee

Прям боюсь верить своим глазам - очень заметные Изменения в лучшую сторону! :o Тьфу-тьфу-тьфу , чтоб не сглазить :)
Но не будем делать поспешных выводов :)

Цитата:

Цитата Ylyana

С:\Qoobox\Quarantine\C\Program Files\Common Files \Target Marketing Agency - вот здесь расположен ..Можно удалить все это смело? »

Про деинсталяцию я вам говорил здесь, располагалось
Target Marketing Agency - C:\Program Files\Common Files\Target Marketing Agency) и
AskBar - С:\Program Files\AskBarDis\
По логу OTListIt у вас остались папки

Цитата:

[2009.01.05 16:52:49 | 00,000,000 | ---D | C] -- C:\Program Files\AskBarDis
[2008.12.15 18:41:38 | 00,000,000 | ---D | C] -- C:\Program Files\MyCentria

и в Uninstall List

Цитата:

"Ask Toolbar_is1" = Foxit Toolbar

В общем я больше не знаю как вам объяснить, что эти программы надо деинсталлировать. И ещё можете удалить Foxit Reader
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Код:

Folder::

C:\Program Files\MyCentria

C:\Program Files\AskBarDis

C:\Program Files\Foxit Software

C:\Program Files\Common Files\Target Marketing Agency

C:\Documents and Settings\admin\Application Data\Foxit

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe

Когда сохранится новый отчет ComboFix, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению и сделайте новый лог Hijackthis.

Проверьте систему с помощью SuperAntiSpyware и далее, после удаления SuperAntiSpyware, Spybot-S&D, логи если возможно, сохраните и прикрепите. Spybot-S&D можете оставить, будет обеспечивать некоторую защиту в дальнейшем.

Да я поняла.Я удалила Все что вы сказали вот совсем недавно , уже после того как лог OTListIt был готов!
И здесь - Target Marketing Agency - C:\Program Files\Common Files\Target Marketing Agency) ну НЕТУ такой папки !
Она Была здесь С:\Qoobox\Quarantine\C\Program Files\Common Files \Target Marketing Agency я уже ее удалила.
Вобщем ВСЕ что было сказано удалила и сто раз проверила)

Цитата:

Цитата Ylyana

уже после того как лог OTListIt был готов! »

Рекомендация удалить программы была в посте 4, т.е. до рекомендации сделать логи OTListIt, если бы вовремя удалили, вы давно бы решили свою проблему!
Давайте новые актуальные логи OTListIt и новый лог Hijackthis, программами все таки рекомендую провериться, см. пост 24

Цитата:

Цитата Pili

Рекомендация удалить программы была в посте 4, т.е. до рекомендации сделать логи OTListIt, если бы вовремя удалили, вы давно бы решили свою проблему! »

I'm VERY SORRY)
Я больше так не Буду :sorry:

Ylyana, по логам ничего плохого. Как себя чувствует компьютер?
Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u
Скачайте OTCleanIt, запустите, нажмите CleanUp!

Цитата:

8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Советую отключить неиспользуемые службы и настроить безопасность, если что не нужно, скажите, можно будет отключить скриптом.

Цитата:

Цитата Pili

Проверьте систему с помощью SuperAntiSpyware и далее, после удаления SuperAntiSpyware, »

Spybot Никак не Устанавливается!Скачиваю, начинается процесс установки а потом - Ошибка, пишет
Erorr sending requst
The operation timed out ???
OTCleanIT тоже сделала.
Отключила службы..а где настроить безопасность?

Цитата:

Цитата Pili

Как себя чувствует компьютер? »

С компьютером похоже порядок, а вот с интернетом - беда. Может какие драйвера надо обновить?

Ylyana, как и ожидалось, SuperAntiSpyware ничего не нашел и почистил только Cookies.

Цитата:

Цитата Ylyana

Spybot Никак не Устанавливается!Скачиваю, начинается процесс установки а потом - Ошибка, пишет
Erorr sending requst »

Могут быть проблемы из-за других установленных защитных программ, например firewall мешает.
http://forums.spybot.info/showthread.php?t=35675
http://forums.spybot.info/showpost.p...620#post166620

Цитата:

Цитата Ylyana

.а где настроить безопасность? »

Цитата:

Цитата Pili

Цитата:
8. Поиск потенциальных уязвимостей
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Советую отключить неиспользуемые службы и настроить безопасность, если что не нужно, скажите, можно будет отключить скриптом.
------- »

Дополнительно по безопасности Windows XP можно почитать здесь
Советую прочитать
Безопасный Интернет. Универсальная защита для Windows ME - Vista
Базовая концепция системы безопасности ОС Windows семейства NT

Цитата:

Цитата Ylyana

а вот с интернетом - беда. »

Какие проблемы, можете сказать точнее?
Рекомендую не использовать Internet Explorer или отключить в нем ActiveX, использовать DropMyRights см. здесь и здесь или SanboxIE, пользоваться браузером Opera или Firefox c плагином NoScript и AdBlock Plus
У вас сборка windows, я вроде об этом уже говорил, поэтому вам лучше обратится к автору сборки или установить лицензионную версию windows и далее все обновления http://windowsupdate.microsoft.com
Логи делались давно, для контроля можете сделать новый лог virusinfo_syscheck.zip (2-ой стандартный скрипт AVZ) и лог hijackthis

Ylyana, привет!
Как твой комп себя чувствует? Дело было только в вирусах или ....?

Всем привет!Извените что долго не отвечала дело было не только в вирусах.., вернее сказать вирусы внесли необратимые изменения и в конце концов комп оказался на ремонте..сгорел...неделю полечили , привод даже заменили и блок питания...что-то говорили про сбой файловой системы, и запыленность, кстати, на 100%!
Вобщем уже все в порядке.
БОЛЬШУЩЕЕ СПАСИБО ВСЕМ КТО ПОМОГАЛ!!!!!!!! :oszone: Все-таки кое-чему научилась. :up

Цитата:

Цитата Ylyana

вирусы внесли необратимые изменения и в конце концов комп оказался на ремонте..сгорел...неделю полечили , привод даже заменили и блок питания...что-то говорили про сбой файловой системы, и запыленность »

Вирусы не могут оказать такого воздействия на компьютер, вероятнее всего у вас неисправно работало что-то из железа, например тот же блок питания :)
Рекомендации по защите я уже давал выше, добавлю ещё что вы можете оказать помощь в сборе и пополнении базы чистых файлов AVZ

Цитата:

Цитата Ylyana

вирусы внесли необратимые изменения »

Цитата:

Цитата Ylyana

запыленность, кстати, на 100% »

..остатками погибших вирусов :)