проверьте, плз...

[punk_prankster]

Проверьте и пропишите лечилку, пожалуйста...

Логи прикрепил...

[PavelA]

1. Отключить восстановление системы

2. Профиксить в HijackThis:

3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O20 - Winlogon Notify: arm32reg - C:\WINDOWS\
O21 - SSODL: VStorage - {16EF334C-0775-474C-8F5E-03445E076A93} - swmclip.dll (file missing)

3. Найти через AVZ и прислать через ссылку вверху темы:

C:\Program Files\Common Files\Microsoft Shared\Windows Vista Sourcecode.doc.pif 
C:\Program Files\Common Files\MSSoap\Binaries\Resources\From me with love.scr 
C:\Program Files\Common Files\MSSoap\Binaries\Resources\Saddam Hussein.jpg.exe 
C:\Program Files\Common Files\MSSoap\Binaries\Resources\Taliban.pif 
C:\Program Files\Common Files\ODBC\Data Sources\anthrax.doc.exe
C:\WINDOWS\Temp\startdrv.exe 
arm32.dll

[drongo]

В добавок к сообщению Павла, поменять пароли на всё - у вас было пару вариантов пинча.
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\nwiz.exe','');
 QuarantineFile('C:\WINDOWS\system32\Mstray.exe','');
 QuarantineFile('C:\WINDOWS\Mstray.exe','');
 QuarantineFile('C:\WINDOWS\system32\yes.exe','');
 QuarantineFile('C:\WINDOWS\system32\swmclip.dll','');
 QuarantineFile('C:\WINDOWS\system32\WEB\KI.exe','');
 QuarantineFile('C:\WINDOWS\WEB\KI.exe','');
 QuarantineFile('C:\WINDOWS\yes.exe','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_copy.log');
BC_Activate;
RebootWindows(true);
end.

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=10666
boot_copy.log- из папки AVZ прикрепить к вашему следующему ответу

[punk_prankster]

сделал все как посоветовали: профиксил и прописал скрипты, выслал карантин, но вот поиск через АВЗ мало что дал: находит только C:\WINDOWS\Temp\startdrv.exe (я его прикрепил последним файлом к карантину). Остальное же через АВЗ не находится, искал через стандартную функцию в Пуске "Найти" - видит это всё в указанных местах...

что делать дальше? логи новые выслать?

[punk_prankster]

новые логи...

[punk_prankster]

что делать????!!!! игнор??

[Bratez]

Не так быстро. Думаем

[Bratez]

Во-первых, у вас поражение червем Rays, его вылечить с помощью AVZ проблематично, но с этим легко справится любой антивирус. Можно например установить пробную версию Касперского 6.0, обновить базы и сделать полную проверку компьютера.

Во-вторых, виден дроппер C:\WINDOWS\Temp\startdrv.exe, обычно сопутствующий руткиту runtime, а самого руткита не наблюдается.
Тем не менее, выполните такой скрипт:

begin
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
Rebootwindows(true);
end.

В-третьих, пофиксите в HijackThis:

O3 - Toolbar: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O4 - HKLM\..\Run: [RavTimeXP] \WEB\KI.exe
O4 - HKLM\..\Run: [RavTimXP] \Mstray.exe

Проделайте вышеозначенное в указанном порядке
и сделайте новые логи.

[punk_prankster]

Выполнил рекомендации, что еще нужно?

[Bratez]

Похоже, только скрипт выполнили и больше ничего. Антивируса никакого не видно. Даже строчка с (no file) не пофикшена. Если Касперского не хотите устанавливать, хотя бы скачайте свежий CureIt и сделайте полную проверку компьютера, лучше в безопасном режиме. Перед проверкой подключите свои съемные носители (флэшку, мп3-плеер и др.) чтобы они тоже были проверены.
По окончании пофиксите то, что было указано выше.

[punk_prankster]

Почистился с помощью CureIt, сделал новые логи, но вот когда собираюсь про фиксить тот самый п.3, то не видно в списке тех трех строчек... и еще такой вопрос, после всего лечения карантин удалять?

[Bratez]

Теперь логи чистые.

Один маленький вопрос: в hosts вот это сами прописывали? -

127.0.0.1 webmoney.ru  
127.0.0.1 www.webmoney.ru  
127.0.0.1 arbitrage.webmoney.ru  
127.0.0.1 www.arbitrage.webmoney.ru

Если нет, сделайте в AVZ Файл - Восстановление системы -
отметьте п.13 и нажмите Выполнить.

Карантин удалите.

[punk_prankster]

Теперь логи чистые.

Один маленький вопрос: в hosts вот это сами прописывали? -

127.0.0.1 webmoney.ru  
127.0.0.1 www.webmoney.ru  
127.0.0.1 arbitrage.webmoney.ru  
127.0.0.1 www.arbitrage.webmoney.ru

Если нет, сделайте в AVZ Файл - Восстановление системы -
отметьте п.13 и нажмите Выполнить.

Карантин удалите.

Встречный вопрос: что значит прописывали в hosts? У меня был на компьютере вэбмани, но я потом его удалил. Сам вручную вроде ничего подобного ни куда не вписывал... Делать таки восстановление с п.13?

[Bratez]

Делать таки восстановление с п.13?

Сделайте.

[punk_prankster]

Сделайте.

сделал. уже всё?

[Bratez]

Если вас больше ничего не беспокоит, тогда всё.