[akok]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DelBHO('{341A9B2D-8CBE-47DC-8EDB-CFC45888D8B2}');
 QuarantineFile('C:\WINDOWS\system32\fedlib.dll','');
 QuarantineFile('C:\WINDOWS\system32\XP-A86D1FCD.EXE','');
 QuarantineFile('C:\WINDOWS\system32\mmfinfo.dll','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\shell.fne','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\krnln.fnr','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\internet.fne','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\eAPI.fne','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\dp1.fne','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\com.run','');
 QuarantineFile('c:\windows\system32\xp-a86d1fcd.exe','');
 QuarantineFile('C:\WINDOWS\system32\Flashy.exe','');
 DeleteFile('C:\WINDOWS\system32\Flashy.exe');
 DeleteFile('c:\windows\system32\xp-a86d1fcd.exe');
 DeleteFile('C:\WINDOWS\system32\XP-A86D1FCD.EXE');
 DeleteFile('C:\WINDOWS\system32\fedlib.dll');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив отправьте на akok<at>pisem.net с указанной ссылкой на тему. (at=@)

Пофиксить в HijackThis следующие строчки

Код:

	F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

Повторите логи.

[Pili]

kvass, и ещё деинсталлируйте программу которая связана с C:\Program Files\ASWPro\
Выполните в AVZ скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\ASWPro\SSS.sys','');
 QuarantineFile('C:\Program Files\ASWPro\ASWPro.exe','');
 DeleteFile('C:\Program Files\ASWPro\SSS.sys');
 DeleteFile('C:\Program Files\ASWPro\ASWPro.exe');
 DeleteService('AntiSpyWareProFilter');
 DeleteFileMask('C:\Program Files\ASWPro\', '*.*', true);
 DeleteDirectory('C:\Program Files\ASWPro');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('AntiSpyWareProFilter');
BC_Activate;
RebootWindows(true);
end.

[kvass]

Всё сделал по скриптам.
ЎЎЎЎЎЎ.lnk = C:\WINDOWS\system32\XP-A86D1FCD.EXE удалилась.
Осталась проблема с папкой.
Открываю, с рабочего стола, папку Мои документы не вижу никакого меню и кнопок.
Скрин.

[kvass]

akok, всё выслал. Логи.

[Pili]

Панель управления -> Свойства папки -> вкладка Вид и поставить галочку Всегда отображать меню, если не поможет
попробуйте применить эти reg файлы 010.reg и 032.reg
Если в папке есть desktop.ini попробуйте его переименовать или перенести.
Выполните скрипт AVZ

Код:

begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(true);
end.

Если не поможет, скачайте Dial-a-fix, поставьте галку в области Registration center - Explorer/IE... (скриншот) и нажмите GO.

[kvass]

Всё сделал.
Папка Мои документы так же без меню.

[Pili]

kvass, Если зайти под другим пользователем, проблема появляется? Файл desktop.ini (если есть, то он д.б. скрытый) в папке нашелся?
Попробуйте ещё Панель управления -> Свойства папки -> вкладка Вид - во вкладках нажмите восстановить значения по умолчанию.
Посмотрите ещё Не запоминаются или искажаются параметры отображения или настройки внешнего вида папок
Проблемы с настройкой внешнего вида папки ( папок ) - Microsoft ...
Я так понимаю, что все остальные папки открываются нормально? Имхо, это уже не вирусная проблема и вам лучше обратиться в раздел Microsoft Windows XP
И ещё у вас есть
C:\Program Files\Norton Security Scan
C:\Program Files\Common Files\Symantec Shared
C:\Program Files\Eset
выберите и оставьте какой-нибудь один антивирус.
Если у вас есть подозрение, что у вас остались зловреды:
Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner
- скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли

Скачайте Malwarebytes' Anti-Malware здесь, здесь, здесь или здесь. Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (Удалить выделенные). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).

Скачайте SDFix здесь или здесь, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat из папки SDFix - подтвердить, нажав "Y"), после окончания сканирования скопируйте (Ctrl+A, Ctrl+C) текст из C:\Report.txt и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь или здесь

Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix и здесь - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска.
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (на англ.яз.) и здесь (на русском)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Скачайте OTListIt2, сохраните на рабочий стол и запустите, поставьте галочку Scan All Users, LOP Check, Purity Check и в Extra Registry - Use Safe list. Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.

Скачайте RSIT, сохраните на рабочий стол и запустите, когда закончится процесс сканирования, откроются два файла log.txt и info.txt, скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файлы c:\log.txt и c:\info.txt и прикрепите к сообщению.

[akok]

уфф нашел.

я не зря добавил в шаблон

Полученный архив отправьте на akok<at>pisem.net с указанной ссылкой на тему. (at=@)

C:\WINDOWS\system32\XP-A86D1FCD.EXE - Trojan-Downloader.Win32.VB.huj

C:\DOCUME~1\user\LOCALS~1\Temp\E_4\internet.fne - Trojan-Downloader.Win32.Agent.axlb

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\com.run');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\dp1.fne');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\eAPI.fne');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\internet.fne');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\krnln.fnr');
 DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\E_4\shell.fne');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

[kvass]

kvass, Если зайти под другим пользователем, проблема появляется? Файл desktop.ini (если есть, то он д.б. скрытый) в папке нашелся?

Дело в том, что открывая папки через проводник, всё показывает как положенно.
Файл desktop.ini нашёлся, 7 штук, 2 в C:\WINDOWS, C:\WINDOWS\system32 остальные в программах C:\Program Files\

Попробуйте ещё Панель управления -> Свойства папки -> вкладка Вид - во вкладках нажмите восстановить значения по умолчанию.

Ставил по умолчанию, без результатно.
Ну да ладно, главное избавился от троянов.
akok, Pili! Спасибо вам большое за скрипты и вообще за помощь.
Буду учить 7-й пост.