самопроизвольная перезагрузка компа

[valeri]

Здравствуйте!!!
Компьютер несколько раз самопроизвольно перезагрузился. при проверке системы высветилось подозрение на троян.

[AndreyKa]

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 ClearQuarantine;
 SetAVZGuardStatus(True);
 BC_QrFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
 QuarantineFile('\??\C:\WINDOWS\system32\DefLib.sys','');
 QuarantineFile('c:\docume~1\admin\locals~1\temp\winlogon.exe','');
 QuarantineFile('c:\windows\system32\idaw64.exe','');
 QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
 DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 BC_QrSvc('ICF');
 BC_DeleteSvc('ICF');
 BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил)

Добавлено через 9 часов 39 минут

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 SetAVZGuardStatus(True);
 ClearQuarantine;
 DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
 DeleteFile('c:\windows\system32\idaw64.exe');
 DeleteFile('c:\docume~1\admin\locals~1\temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\DefLib.sys');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
 end.

Компьютер перезагрузится.
Сделайте новые логи и приложите их к вашей теме.

Добавлено через 3 минуты

Все зловреды детектируются утилитой CureIt. Можно было просто проверить ей компьютер. Лучше брать бета-версию:
ftp://ftp.drweb.com/pub/drweb/cureit/cureit-beta.exe

Насчет еще раз прислать карантин - отбой.

[valeri]

добрый день!!!
вот новые логи.
один зараженный файл остался.

[Muzzle]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 BC_QrFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
 BC_DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
 BC_DeleteSvc('System Scheduler');
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=12409

Так же пришлите файл SCBAL.exe по правилам.

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

Что из этого вам нужно?остальное пофиксим

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> разрешена потенциально опасная служба TermService (Terminal Services)
>> разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[valeri]

Уважаемый, Muzzle!
В "цитате" ничего для меня ценного нет, поэтому пофиксить можно все.

[Muzzle]

вот скрипт который это пофиксит,а остальные рекомендации вы сделали?
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SetServiceStart('TermService', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

[valeri]

сделала, вот только проблема была с пунктом 2.
2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )
Код:

O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)


после того как я это сделала вылезает все время сообщение
НЕ УКАЗАНО ИМЯ dll...
даже после возвращения бекапа, это окно лезет.

[PavelA]

Нужен лог HijackThis.

[valeri]

я ранее отправляла логи, после добавления скриптов
могу продублировать, может нужен какой-то другой лог

вроде файлы подцепились, если нет, то сорри

[PavelA]

Новенький нужен, после всех действий. Актуальный, так сказать.

[valeri]

вот они!!!

[PavelA]

Прошу уточнения: а не написано ли какой Dll не хватает.
В логах чисто, следов заражения не видно.

[valeri]

я напишу чего не хватает, это сообщение появляется при включении компа.
но еще, у меня в карантине лежит файл с подозрением на Dialer.Win32.Generic ...
и семантек все время ссылается на него.
После добавления скриптов два трояновских файла были уничтожены. а этот живее всех живых!!!

[PavelA]

Карантин загрузить через ссылку вверху, а затем карантин Avz можно почистить.

[valeri]

Вы знаете, я его(этот файл) удаляла через карантин, но при проверке компа на вирусы, он лезет снова.

[PavelA]

Этот Ваш SCVal.exe проверил на virustotal.com. Ни одного подозрения.
Можете быть спокойны.

[valeri]

Вы меня успокоили, осталось разобраться с DLL.
к сожалению снесен на компе фотошоп, не могу выслать Вам скрин, поэтому пришлю файл напечатанный

Добавлено через 14 минут

Использование: regsvr32[/u] [/s] [/i[:строка_команд]] Dll-файл
/u -Отменяет регистрацию DLL
/s - "Тихий режим; окна сообщения не отображаются
/i - Вызывает DLLInstall, передавая параметром необязательную строку_команд, при использовании с ключом/и вызывает DLLUnIstall
/n - Не вызывает DLLRegisterServer; это может использоваться с ключом /i


и просить нажать ок, окно высвечивается только при включении и перезагрузке

[Rene-gad]

к сожалению снесен на компе фотошоп, не могу выслать Вам скрин

Скриншот делается и без всякого специального софта: http://virusinfo.info/showthread.php?t=8577, небольшие корректуры можно сделать с помощью http://irfanview.tuwien.ac.at/ или http://www.getpaint.net/index.html

[valeri]

это окно сообщения все время лезет при загрузке

[PavelA]

Поступим так:
в AVZ Сервис -- Поиск данных по реестру -- набиваем regsvr32 -- затем сохранить Протокол.

Далее Протокол в студию, заговорился, сюда.