Диспетчер задач отключен администратором.

[Gena77]

Что-то утро не задалось. При подключении к сети комп явно начал работать с кем-то без моего ведома. Все попытки хоть как-то повлиять на ситуацию заканчивались неудачей. Пришлось выдернуть шнур линии из модема...
Последующая перезагрузка и проверка выявила следующее: Брандмауер после перезагрузки оказывается всегда выключеным. Ctrl+Alt+Del приводят к окну Диспетчер задач отключен администратором. При подключении к сети сразу начинает работать антивирус AVAST находит троянов в Sistem32. Самое главное не запускается avz4, даже после нового скачивания и я не могу выполнить требования данного ресурса...
Что делать?

[Bratez]

Переименуйте avz.exe в какой-нибудь 987.pif

[Gena77]

Ну спасибо, после переиминовки заработало! Итак, вот результаты.

[wise-wistful]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\dllgh8jkd1q7.exe');
 TerminateProcessByName('c:\windows\system32\dllgh8jkd1q6.exe');
 TerminateProcessByName('c:\windows\system32\wind32.exe');
 TerminateProcessByName('c:\windows\system32\le0c1.tmp.exe');
 TerminateProcessByName('c:\windows\system32\vedxg4am1et2.exe');
 TerminateProcessByName('c:\windows\system32\vedxga1me4t1.exe');
  TerminateProcessByName('c:\windows\system32\winlagons.exe');
 SetServiceStart('taskmon.sys', 4);
 StopService('taskmon.sys');
 SetServiceStart('diperto5aae-595b', 4);
 StopService('diperto5aae-595b');
 SetServiceStart('msupdate', 4);
 StopService('msupdate');
 SetServiceStart('Microsoft Internet Explorer', 4);
 StopService('Microsoft Internet Explorer');
 SetServiceStart('Google Online Search Service', 4);
 StopService('Google Online Search Service');
 QuarantineFile('C:\WINDOWS\mmhren1.exe','');
 QuarantineFile('kdbyr.exe','');
 QuarantineFile('C:\WINDOWS\system32\taskmon.sys','');
 QuarantineFile('C:\WINDOWS\system32\c++.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\diperto76f6-159f.sys','');
 QuarantineFile('c:\windows\system32\vhosts.exe','');
  QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\diperto5aae-595b.sys','');
 QuarantineFile('Oed25.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
 QuarantineFile('C:\WINDOWS\system32\HPFMLC20.dll','');
 QuarantineFile('C:\WINDOWS\system32\HPFMEM20.dll','');
 QuarantineFile('C:\WINDOWS\system32\HPFlpm20.dll','');
 QuarantineFile('C:\WINDOWS\system32\HPFIOP20.DLL','');
 QuarantineFile('C:\WINDOWS\system32\HPFCOM20.DLL','');
 QuarantineFile('c:\windows\system32\winlagons.exe','');
 QuarantineFile('c:\windows\system32\wind32.exe','');
 QuarantineFile('c:\windows\system32\vedxga1me4t1.exe','');
 QuarantineFile('c:\windows\system32\vedxg4am1et2.exe','');
 QuarantineFile('c:\windows\system32\le0c1.tmp.exe','');
 QuarantineFile('c:\windows\system32\dllgh8jkd1q7.exe','');
 QuarantineFile('c:\windows\system32\dllgh8jkd1q6.exe','');
 DeleteFile('c:\windows\system32\dllgh8jkd1q6.exe');
 DeleteFile('c:\windows\system32\dllgh8jkd1q7.exe');
 DeleteFile('c:\windows\system32\le0c1.tmp.exe');
 DeleteFile('c:\windows\system32\vedxg4am1et2.exe');
 DeleteFile('c:\windows\system32\vedxga1me4t1.exe');
 DeleteFile('c:\windows\system32\wind32.exe');
 DeleteFile('c:\windows\system32\winlagons.exe');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys');
 DeleteFile('C:\WINDOWS\system32\diperto5aae-595b.sys');
 DeleteFile('C:\WINDOWS\system32\_svchost.exe');
 DeleteFile('c:\windows\system32\vhosts.exe');
 DeleteFile('C:\WINDOWS\system32\diperto76f6-159f.sys');
 DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\c++.exe');
 DeleteFile('C:\WINDOWS\system32\taskmon.sys');
 DeleteFile('C:\WINDOWS\mmhren1.exe');
 DeleteService('taskmon.sys');
 DeleteService('msupdate');
 DeleteService('diperto5aae-595b');
 DeleteService('Google Online Search Service');
 DeleteService('Microsoft Internet Explorer');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=17998
Вас посетил Trojan.Vxgame.z и иже сним.
2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\c++.exe,

[Gena77]

Всё выполнено. Только при подключении к сети Аваст орет и ловит целую кучу виров, в system32.

[Макcим]

Повторите логи.

[wise-wistful]

В карантине 200[1].exe - Trojan-Dropper.Win32.Agent.elj, wind32.exe - Email-Worm.Win32.Zhelatin.vf, winlagons.exe - Trojan-Downloader.Win32.Winlagons.a, le0c1.tmp, vedxg4am1et2.exe, vedxga1me4t1.exe - Email-Worm.Win32.Zhelatin.vh, winlogon.exe - Trojan-Dropper.Win32.Agent.elw

[Gena77]

Maxim
С syscheck ничего не выходит. На какой-то стадии работы avz начинается перезагрузка компа...
Остальное выполнилось.

wise-wistful
Меня конечно "радует" такое изобилие, но оно мне ни о чем не говорит. Я не знаю, что с этим делать!

По прежнему, при подключении к сети Брандмауэр выключается. И после перезагрузки выскакивает окно подключения к сети, настоятельно требуя подключения (отмена и выключение окна приводят к повторному появлению, практически бесконечно)

[Gena77]

Еще момент. Аваст начал ловить:
C:\WINDOWS\system32\m1ax1d121322116143v.exe
Но удалить не может, говорит, что файл не упакован и обработать его он не может...

[wise-wistful]

Такое чувство - чем дальше в лес тем толще партизаны. Есть предложение Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\system32\winlagons.exe');
 TerminateProcessByName('c:\windows\system32\wind32.exe');
 TerminateProcessByName('c:\windows\system32\vedxg6ame4.exe');
 TerminateProcessByName('c:\windows\system32\n2ewma1xxsv2234.exe');
 TerminateProcessByName('c:\windows\system32\dllgh8jkd1q7.exe');
 TerminateProcessByName('c:\windows\system32\dllgh8jkd1q6.exe');
  SetServiceStart('diperto2d98-5901', 4);
 StopService('diperto2d98-5901');
 QuarantineFile('C:\WINDOWS\system32\kdbyr.exe','');
 QuarantineFile('wmedia32.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
 SetServiceStart('diperto40be-429f', 4);
 StopService('diperto40be-429f');
 SetServiceStart('Google Online Search Service', 4);
 StopService('Google Online Search Service');
 SetServiceStart('diperto76f6-159f', 4);
 StopService('diperto76f6-159f');
 SetServiceStart('diperto728d-2646', 4);
 StopService('diperto728d-2646');
 SetServiceStart('diperto6082-452f', 4);
 StopService('diperto6082-452f');
 SetServiceStart('diperto5aae-595b', 4);
 StopService('diperto5aae-595b');
 SetServiceStart('diperto4d5b-7551', 4);
 StopService('diperto4d5b-7551');
 SetServiceStart('diperto4758-43c7', 4);
 StopService('diperto4758-43c7');
 SetServiceStart('msupdate', 4);
 StopService('msupdate');
 SetServiceStart('Microsoft Internet Explorer', 4);
 StopService('Microsoft Internet Explorer');
 QuarantineFile('Vcsy55.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Syrl66.sys','');
DeleteFile('C:\WINDOWS\system32\m1ax1d121322116143v.exe');
DeleteFile('c:\windows\system32\dllgh8jkd1q6.exe');
 BC_DeleteFile('c:\windows\system32\dllgh8jkd1q6.exe');
 DeleteFile('c:\windows\system32\dllgh8jkd1q7.exe');
 BC_DeleteFile('c:\windows\system32\dllgh8jkd1q7.exe');
 DeleteFile('c:\windows\system32\n2ewma1xxsv2234.exe');
 BC_DeleteFile('c:\windows\system32\n2ewma1xxsv2234.exe');
 BC_DeleteFile('c:\windows\system32\vedxg6ame4.exe');
 DeleteFile('c:\windows\system32\vedxg6ame4.exe');
 BC_DeleteFile('c:\windows\system32\wind32.exe');
 DeleteFile('c:\windows\system32\wind32.exe');
 BC_DeleteFile('c:\windows\system32\winlagons.exe');
 DeleteFile('c:\windows\system32\winlagons.exe');
 DeleteFile('C:\WINDOWS\system32\Drivers\Syrl66.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Syrl66.sys');
 DeleteFile('Vcsy55.sys');
 BC_DeleteFile('Vcsy55.sys');
 DeleteFile('C:\WINDOWS\system32\winlagons.exe');
 BC_DeleteFile('C:\WINDOWS\system32\winlagons.exe');
 DeleteFile('C:\WINDOWS\system32\_svchost.exe');
 BC_DeleteFile('C:\WINDOWS\system32\_svchost.exe');
 DeleteFile('c:\windows\system32\vhosts.exe');
 BC_DeleteFile('c:\windows\system32\vhosts.exe');
 DeleteFile('C:\WINDOWS\system32\diperto40be-429f.sys');
 BC_DeleteFile('C:\WINDOWS\system32\diperto40be-429f.sys');
 DeleteFile('C:\WINDOWS\system32\diperto4758-43c7.sys');
 BC_DeleteFile('C:\WINDOWS\system32\diperto4758-43c7.sys');
 DeleteFile('C:\WINDOWS\system32\diperto4d5b-7551.sys');
 BC_DeleteFile('C:\WINDOWS\system32\diperto4d5b-7551.sys');
 DeleteFile('C:\WINDOWS\system32\diperto5aae-595b.sys');
 BC_DeleteFile('C:\WINDOWS\system32\diperto5aae-595b.sys');
 DeleteFile('C:\WINDOWS\system32\diperto6082-452f.sys');
 BC_DeleteFile('C:\WINDOWS\system32\diperto6082-452f.sys');
 DeleteFile('C:\WINDOWS\system32\diperto728d-2646.sys');
 BC_DeleteFile('C:\WINDOWS\system32\diperto728d-2646.sys');
 DeleteFile('C:\WINDOWS\system32\diperto76f6-159f.sys');
 BC_DeleteFile('C:\WINDOWS\system32\diperto76f6-159f.sys');
 DeleteFile('C:\WINDOWS\system32\dipertoce4-7aa1.sys');
 BC_DeleteFile('C:\WINDOWS\system32\dipertoce4-7aa1.sys');
 DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
 BC_DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
 DeleteFile('c:\windows\system32\wmedia32.exe');
 BC_DeleteFile('c:\windows\system32\wmedia32.exe');
 DeleteFile('C:\WINDOWS\system32\L6BEF.tmp.exe');
 DeleteFile('C:\WINDOWS\system32\LE0C1.tmp.exe');
 DeleteFile('C:\WINDOWS\system32\n2ewma1xxsv2234.exe');
 DeleteService('diperto76f6-159f');
 DeleteService('diperto40be-429f');
 DeleteService('diperto5aae-595b');
 DeleteService('diperto728d-2646');
 DeleteService('diperto6082-452f');
 DeleteService('Google Online Search Service');
 DeleteService('Microsoft Internet Explorer');
 DeleteService('msupdate');
 DeleteService('diperto4d5b-7551');
 DeleteService('diperto4758-43c7');
 DeleteService('diperto2d98-5901');
 BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(6);
 ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.

Профиксите

O4 - HKLM\..\Run: [System] C:\WINDOWS\system32\wind32.exe
O4 - HKLM\..\Run: [SystemSv121] C:\WINDOWS\system32\n2ewma1xxsv2234.exe
O4 - HKUS\S-1-5-18\..\Run: [Firewall auto setup] C:\WINDOWS\TEMP\winlogon.exe (User 'SYSTEM')
O4 - HKCU\..\Run: [Service Pack 1] C:\WINDOWS\system32\vedxg6ame4.exe

Скачайте кьюрит от Др.Веба и пройдитесь ним в защищённом режиме и в обычном. Повторите логи.
С тем списком, что я привёл мы и боримся.

Добавлено через 3 минуты

Кстати предыдущий скрипт прошёл нормально? Компьютер сам перезагрузился? Вы отключаете Антивирус при выполнении скрипта?

[Gena77]

По мере исполнения и возможности...
Предыдущий скрипт действительно закончился перезагрузкой. У антивируса Avast я в состоянии отключить только провайдеры в сканере доступа. Что-то других вариантов не нашел. Но каждый раз, при работе с avz & HijackThis это обязательно делаю. Брандмауэр не трогаю.
Последний скрипт прошел нормально, а вот в момент исполнения "стандартного с лечением/карантином" произошла перезагрузка в середине процесса. ОК. Повторил. Прошло. Хорошо, перезагрузил комп, как требуют правила. Начинаю выполнять "скрипт сбора инфы" опять сам перезагрузился...
А уж "пофиксить" вообще ничего не удалось!!! Там я такого не нашел!
Доктора Веба тоже пока скачать не удалось. Посему цепляю скромные резалты своего труда, может хоть это поможет.

[wise-wistful]

Немного попустило.
Віполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 SetServiceStart('diperto2d98-5901', 4);
 StopService('diperto2d98-5901');
 QuarantineFile('C:\WINDOWS\System32\Drivers\StarOpen.SYS','');
 QuarantineFile('C:\WINDOWS\system32\diperto412d-1849.sys','');
 QuarantineFile('C:\WINDOWS\system32\HPFMLC20.dll','');
 QuarantineFile('C:\WINDOWS\system32\HPFMEM20.dll','');
 QuarantineFile('C:\WINDOWS\system32\HPFlpm20.dll','');
 QuarantineFile('C:\WINDOWS\system32\HPFIOP20.DLL','');
 QuarantineFile('C:\WINDOWS\system32\HPFCOM20.DLL','');
 DeleteFile('C:\Documents and Settings\Геннадий\ie_updates3r.exe');
 DeleteFile('C:\WINDOWS\system32\diperto412d-1849.sys');
 DeleteFile('Vcsy55.sys');
 BC_DeleteFile('Vcsy55.sys');
 DeleteFile('C:\WINDOWS\system32\diperto2d98-5901.sys');
 BC_DeleteFile('C:\WINDOWS\system32\diperto2d98-5901.sys');
  BC_DeleteFile('C:\Documents and Settings\Геннадий\ie_updates3r.exe');
 DeleteFile('C:\WINDOWS\system32\vedxg4am1et2.exe');
 BC_DeleteFile('C:\WINDOWS\system32\vedxg4am1et2.exe');
 DeleteFile('C:\WINDOWS\system32\vedxga1me4t1.exe');
 BC_DeleteFile('C:\WINDOWS\system32\vedxga1me4t1.exe');
 DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000237.msi');
 BC_DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000237.msi');
 DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000238.exe');
 BC_DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000238.exe');
 DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000241.exe');
 BC_DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000241.exe');
 DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000242.exe');
 BC_DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000242.exe');
 DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000244.exe');
 BC_DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000244.exe');
 DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000245.exe');
 BC_DeleteFile('D:\System Volume Information\_restore{D8E54E66-93B4-4864-AA58-86F96814BE8A}\RP7\A0000245.exe');
 BC_DeleteSvc('diperto2d98-5901');
BC_ImportAll;
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteRepair(11);
 ExecuteRepair(12);
 ExecuteRepair(17);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузите карантин согласно приложения 3 правил
Профиксите

O4 - HKLM\..\Run: [WMedia32] wmedia32.exe

[Gena77]

И правда, полегче стало. Хоть Аваст заткнулся и перестал окошки о вирах выкидывать. Да и грузится стало всё быстрее и ровнее что-ли. И трафик малость убавился, то по 10-12 мегов было за 5 минут, хотя я ничего, никому... Теперь в 2 мега укладывется, за тоже время. Хотя всё одно не понятно чего кому шлет и кого принимает...
Итак. Скрипт выполнен. Строчку пофиксил.
Вот карантин засылаю.
А логи не надо?

[Bratez]

Выполните скрипт:

begin
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Vcsy55', 'Start');
 RebootWindows(true); 
end.

и сделайте новые логи.

[Gena77]

Так. Вроде красное всё пропало.
Вот логи.

[Bratez]

Выполните такой скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Vcsy55');
SetServiceStart('Vcsy55', 4);
RegKeyParamDel( 'HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows NT\CurrentVersion\Windows', 'Run');
RegKeyParamDel( 'HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'System');
QuarantineFile('kdbyr.exe','');
BC_QrSvc('Vcsy55');
BC_DeleteSvc('Vcsy55');
BC_Activate;
RebootWindows(true);
end.

Пришлите новый карантин и повторите лог syscheck.

Добавлено через 3 минуты

Да, еще пофиксите в HijackThis:

O4 - HKUS\S-1-5-18\..\Run: [SystemDriverLoad]  (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [SystemDriver]  (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [FDriver]  (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [ADriver]  (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [CDriver]  (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [DDriver]  (User 'SYSTEM')

(но это просто для порядка)

[Gena77]

Сначала ответ, пофиксю после.

[akok]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('taskmon.sys', 4);
 StopService('taskmon.sys');
 QuarantineFile('c:\windows\system32\tcpsvcs.exe','');
 QuarantineFile('c:\windows\system32\snmp.exe','');
 DeleteService('taskmon.sys');
 BC_ImportALL;
 BC_DeleteFile('C:\WINDOWS\system32\taskmon.sys');
 BC_DeleteSvc('taskmon.sys');
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=17998
Повторите логи

[Gena77]

Скрипт выполнен. Карантин выслан. Вот еще логи.

Только еще одна деталь. С чего вдруг после перезагрузки стало открываться окно Мастера нового оборудования, с предложением установить "Политику конфиденциальности"? Надо ли это выполнять с поиском чего-то там в инете или всю оставшуюся жизнь после включения компа закрывать это окно?

Да, чуть не забыл, Диспетчер задач опять начал работать нормально!

[Gena77]

Видно еще не всё в поряде. Комп вдруг повис. Долго бился, даже танец с бубуном исполнял... только через резет... Странно.