Sulimo.dat и прочие непреятности

[Partvein]

Немогу удалить файл из System32 под названием sulimo.dat !!!
Антивирус распознаёт его как вирус и удаляет, а он тут же снова появляется !!!!!! В предачу ко всему я немогу зайти в свойства моего компьютера, установку и удаление программ, немогу даже зайти в панель управления - везде появляется сообщение ,,Операция отменена в следствие действующих для компьютера ограниечений.Обратитесь к админнистратору сети,, Нпонятно как такое возможно потому что ограничений никаких неустанавливалось !
И каждые несколько минут появляется сообщение -
-Warning! Potential Spyware Operation!
Your computer is making unauthorized copies of your system и там же предлогается скачать из инета какую-то программу по удалению Spyware !!!

[Partvein]

Помогите пожалуйста если это возможно !!!!!!

[V_Bond]

выполните скрипт...

begin
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_QrFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_DeleteFile('C:\WINDOWS\SYSTEM32\DRIVERS\RUNTIME2.SYS');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('Ip6Fw');
 BC_Activate;
 RebootWindows(true);
end.

пофиксите...

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\printer.exe
O2 - BHO: IEHlprObj Class - {ABCDECF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\vtr.dll
O4 - HKLM\..\Run: [WinAVX] C:\WINDOWS\system32\WinAvXX.exe
O4 - HKLM\..\Run: [rtasks] C:\Program Files\AVSystemCare\rtasks.exe
O4 - HKCU\..\Run: [WinAVX] C:\WINDOWS\system32\WinAvXX.exe
O4 - HKCU\..\Run: [Salestart] "C:\Program Files\Common Files\AVSystemCare\bm.exe" dm=http://avsystemcare.com; ad=http://avsystemcare.com
O4 - Startup: system.exe
O4 - Global Startup: autorun.exe
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\sulimo.dat

затем еще один ....

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\printer.exe','');
 QuarantineFile('C:\WINDOWS\system32\sulimo.dat','');
 QuarantineFile('C:\WINDOWS\system32\WinAvXX.exe','');
 QuarantineFile('C:\Program Files\Common Files\AVSystemCare\bm.exe','');
 QuarantineFile('C:\Program Files\AVSystemCare\rtasks.exe','');
 QuarantineFile('C:\Documents and Settings\Twist.XATA-BB370F73CD\Главное меню\Программы\Автозагрузка\system.exe','');
 QuarantineFile('C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\Автозагрузка\autorun.exe','');
 QuarantineFile('C:\WINDOWS\system32\vtr.dll','');
 QuarantineFile('c:\windows\system32\printer.exe','');
 DeleteFile('c:\windows\system32\printer.exe');
 DeleteFile('C:\WINDOWS\system32\vtr.dll');
 DeleteFile('C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\Автозагрузка\autorun.exe');
 DeleteFile('C:\Documents and Settings\Twist.XATA-BB370F73CD\Главное меню\Программы\Автозагрузка\system.exe');
 DeleteFile('C:\Program Files\AVSystemCare\rtasks.exe');
 DeleteFile('C:\Program Files\Common Files\AVSystemCare\bm.exe');
 DeleteFile('C:\WINDOWS\system32\WinAvXX.exe');
 DeleteFile('C:\WINDOWS\system32\sulimo.dat');
 DeleteFile('C:\WINDOWS\system32\printer.exe');
 BC_ImportAll;
 BC_DeleteSvc('ICF');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи...

[Partvein]

Сооющения о несанкцианированном копировании файлов полностью пропали !!!!!!!!!!!!!!!!! Sulimo пропал вместе с ними !!!!!!!!!!!!!!!!!!!!!!!!!!!
Спасибо огромное за помощь !!!!!! Незнаю даже как выразить благодарность !!!!!!!!!!!!!

Единственная проблема осталась - это пропавшая панель управления и нельзя ещё зайти в установку и удаление прог и в свойства !!!!!!


Вот новые логи !!!!!!

[V_Bond]

отключите Восстановление системы

O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportDeletedList;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(17);
ExecuteRepair(16);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите лог HijackThis

[Partvein]

прошу парщения за непонимание, но
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe - это код отключения восстановления системы ???????
Просто обычными способами я немогу отключить восстановление системы потому что пишется это сообщение что операция отключена вследствие ограничений

[V_Bond]

как пофиксить
ограничения должны исчезнуть после выполнения скрипта ...

[Partvein]

Вот - всё сделал - отключил восстановление системы!!!! Ограничения все сняты !!!!!
Спасибо большое ещё раз за помощь !!!!

Вот новые логи

[V_Bond]

ничего зловредного не вижу ....
осталось разобраться с потенциальными уязвимостями ...

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
что используете ? остальное поможем закрыть....

[Partvein]

,,,ничего зловредного невижу .... ,,,
Стало быть проблема решена !!!!!!!!! Я уж думал что от этого нереально избавиться, хотел уже хард форматировать !!!!!!!
Огромное спасибо !!!!!! недумал что может сайт такой существовать, просто по чистой случайности AVZ скачал и там ссылка была !!!!!!!!