заставка на рабочем столе

[prishelez2]

на рабочем столе отображается заставка со ссылками на разные сайты. Периодически ссылки активируются. В панели управления все изменения заставки заблокированы.При отключении эта заставка закрывается и появляется родная картинка. Помогите удалить вредителя, пожалуйста!

[Info_bot]

Уважаемый(ая) prishelez2, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[polword]

1.Профиксите в HijackThis

R3 - URLSearchHook: (no name) -  - (no file)
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O3 - Toolbar: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)

2.Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
  QuarantineFile('D:\autorun.inf','');
 QuarantineFile('c:\program files\siemens\common\tangocoreservice.exe','');
 DeleteFile('D:\autorun.inf');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

[prishelez2]

сделал как сказано выше!

[thyrex]

Где же тогда лог МВАМ?

[prishelez2]

извините, отвлекли.

[crush13]

prishelez2, удалите в MBAM только эти строки:

Заражённые ключи в реестре:
HKEY_CURRENT_USER\Software\winxarj (Hoax.ArchSMS) -> No action taken.

Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetActiveDesktop (PUM.Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetActiveDesktop (PUM.Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\activedesktop\NoChangingWallpaper (PUM.Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> No action taken.

Заражённые папки:
c:\documents and settings\Tooriga\application data\winzipsoft (Hoax.ArchSMS) -> No action taken.

Заражённые файлы:
c:\documents and settings\Tooriga\application data\winzipsoft\winzipm.exe (Trojan.FakeSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\wzipstart.exe (Trojan.FakeSMS) -> No action taken.
c:\WINDOWS\system32\ahtn.htm (Trojan.FakeAlert) -> No action taken.
c:\WINDOWS\system32\ntdll64.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\_todel2.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\sb-scroll-back.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\a.htm (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\bander.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\dir.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\dot.gif (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\htmlayout.dll (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\logo.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\logo2.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\rubashka.css (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\sb-h-scroll-next.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\sb-h-scroll-prev.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\sb-scroll-base.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\sb-scroll-slider.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\sb-v-scroll-next.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\sb-v-scroll-prev.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\scroll.css (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\wfont.ttf (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\winzipvinfo (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\_todel.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\_todel3.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\_todel4.png (Hoax.ArchSMS) -> No action taken.
c:\documents and settings\Tooriga\application data\winzipsoft\_todel5.png (Hoax.ArchSMS) -> No action taken.

Сделайте повторные логи по правилам п.2 и п.3 раздела "Диагностика" (virusinfo_syscheck.zip; hijackthis.log) + повторный MBAM.

[prishelez2]

вроде все получилось. Настройки восстановились и комп задышал.

[Bratez]

В логах порядок.
Что с проблемой?

[prishelez2]

Проблема решена! Спасибо всем за помощь!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены