Win32.Autorun.j и Troyan-Proxy.Win32.Agent.lb

[Noise_Unit]

не загружается эксплорер, после экрана приветствия можно вызвать только диспетчер задач
AVZ проверялся с флэшки, запустив ее из командной строки
вот логи

[zerocorporated]

1.В avz выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\inf\unregmp2.exe','');
 QuarantineFile('C:\WINDOWS\system32\helper.dll','');
 QuarantineFile('C:\WINDOWS\system32\msvcrt64.dll','');
 QuarantineFile('C:\WINDOWS\system32\msvcrt52.dll','');
 DeleteFile('C:\WINDOWS\system32\msvcrt52.dll');
 DeleteFile('C:\WINDOWS\system32\msvcrt64.dll');
 ExecuteRepair(1);
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteRepair(5);
 ExecuteRepair(6);
 ExecuteRepair(7);
 ExecuteRepair(8);
 ExecuteRepair(9);
 ExecuteRepair(16);
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

2.Выслать карантин согласно приложению 3 правил

[Noise_Unit]

карантин выслал

эксплорер все равно не загружается

[zerocorporated]

C:\WINDOWS\system32\msvcrt64.dll - Trojan-Proxy.Win32.Agent.lb
C:\WINDOWS\system32\msvcrt52.dll - Trojan-Spy.Win32.Mxsender.
C:\WINDOWS\system32\helper.dll - Trojan-PSW.Win32.Agent.km

Вот этот скрипт выполните:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\helper.dll');
 BC_DeleteFile('C:\WINDOWS\system32\helper.dll');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

И повторите логи начиная с пункта 10 правил

[Noise_Unit]

скрипт выполнил
эксплорер так и не загружается
при выполнении скриптов AVZ выдает ошибки на 54% и зависает
может проще сделать восстановление Windows, а потом проверить AVZ?

[Noise_Unit]

после нескольких неудачных запусков AVZ таки прошел до конца
вот обновленные логи

[rubin]

Восстановление системы: включено - отключить, у Вас там зловреды хранятся

Пофиксьте в HJT:

O2 - BHO: Helper Class - {AE1AA4FA-C3A2-4c33-90CD-69DD021A35C8} - C:\WINDOWS\system32\helper.dll (file missing)
O21 - SSODL: msvcrt64.dll - {1AEF4ECE-1394-4EC0-A1B2-BF5D7F31FBA7} - msvcrt64.dll (file missing)
O21 - SSODL: msvcrt52.dll - {5E54819B-27FF-4F8C-BA43-439C34D380AC} - msvcrt52.dll (file missing)

Выполните скрипт:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\drivers\wflk32.sys','');
 BC_ImportQuarantineList;
 BC_QrFile('C:\WINDOWS\system32\drivers\wflk32.sys');
 BC_QrSvc('wflk32');
 BC_Activate;
 RebootWindows(true);
end.

Карантин пришлите по правилам

[Noise_Unit]

карантин выслал
файл virus2.zip

эксплорер так и не заработал

[rubin]

C:\WINDOWS\system32\helper.dll - Trojan-PSW.Win32.Agent.km

По окончании лечения смените пароли...
Поищите вручную через AVZ файл wflk32.sys (Сервис - Поиск файлов на диске), пришлите его, в этот карантин он не попал

[Noise_Unit]

нет такого файла на жестком диске

[rubin]

Тогда:

begin
 BC_DeleteSvc('wflk32');
 BC_Activate;
 RebootWindows(true);
end.

[Noise_Unit]

ничего не дало

[rubin]

Повторите логи...

[Noise_Unit]

вот свежие логи

может проще для начала восстановление windows сделать?

[Noise_Unit]

Всё, всем спасибо проблема решилась
Оказывается был заваленный explorer.exe либо вирусом либо лечением, что уже не суть.
Взял explorer.exe с другой машины и все отлично запустилось.
Благодарю за помощь.

[rubin]

Радостно

>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Что из этого не нужно?

>> Таймаут завершения служб находится за пределами допустимых значений
Это сами ставили?