BackDoor.Bho.6 постоянное восстановление вируса

[Zink]

NOD с постоянным обновлением вирусов не обнаруживал, CureIT, которым дополнительно периодически проверяю, обнаружил и удалил BackDoor.Bho.6, однако стало появляться окошко Требуется перезагрузка, если не нажимаешь Нет в течение 5-10 сек, то система сама перезагружается и все вирусы опять на месте.
Касперский что-то налечил, перезагрузок пока нет, но при загрузке системы в центре экрана выскакивает какое-то смутное окно, в IE видишь загруженную страницу, а внижней строке иногда мелькают какие-то адреса, хотя по ссылкам курсором не водишь.
Помогите, пожалуйста, долечить или вылечить компьютер.
Извините, первый раз при выполнении Скрипт лечения/карантина ... не был открыт IE. Высылаю версию 2 с открытым IE

[Rene-gad]

файлы тут. Ваша учетка не позволяет загружать файлы. Вы авторизованы на форуме?

[Zink]

Если надо сделать что-то кроме входа с моим логином и паролем (они активированы вчера, вернее сегодня в 0:19, то нет, а если достаточно, то, вероятно, да?
Какая дополнительная авторизация нужна?

[V_Bond]

удалите задания в планировщике ...
выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ..

[Zink]

Подскажите, пожалуйста, где этот планировщик искать? Он вроде до всех этих вирусов висел слева внизу, но теперь исчез.
Это в Панели управления Назначенные задания?

[V_Bond]

Это в Панели управления Назначенные задания?

да ...

[Zink]

После выполнения скрипта все исчезло с экрана кроме заставки, перезагружаться пришлось по кнопке.
Новые логи

[Rene-gad]

Если это не Ваш знакомый сервер - пофиксите

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = aviel.ru
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = aviel.ru

Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 ClearHostsFile;
 DeleteService('Tcj18');
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
 DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
 DelBHO('{1A4F919F-4334-4abf-BF47-0836A8B5A54B}');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Tcj18.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Tcj18.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки повторите логи от п. 10 правил.

Добавлено через 2 минуты

Какая дополнительная авторизация нужна?

Вы подтвердили регистрацию по ссылке в автоматическом письме от форума?

[Zink]

Регистрация подтверждена вчера примерно в тоже время, что сейчас - после 00 часов
aviel.ru - это мой провайдер (через него подключение к сети). Поскольку требовалось держать включенным IE, он был запущен, а страница загрузки - домашняя.
Фиксить не надо?
А скрипт выполнять?

[Zink]

Логи после выполнения скрипта №2 (без Fix)

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('tcpsr');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
virusinfo_syscheck.zip - повторите ...

[Zink]

В карантин никто не попался после выполнения скрипта №3, поэтому высылаю только логи с п.10

[V_Bond]

ничего подозрительного ...

[Zink]

Большое спасибо!
Правильно ли японимаю, что все пока вылечилось с Вашей помощью?
Опять очень быстро все стало выполняться, а то я уже и не замечала, как компьютер тормозит.
Какой антивирус все-таки покупать - Касперского или DrWeb? Или NOD продлить (но он что-то плохо вирусы ловил)? Пожалуйста, посоветуйте.

[V_Bond]

Б
Какой антивирус все-таки покупать - Касперского или DrWeb

что вам больше нравиться ... оба достойные продукты ...

[Zink]

Добрый день!

Какая-то гадость осталась, вероятно. Каперский показывает
Возможно Invader

Внедряемый процесс:
C:\WINDOWS\system32\svchost.exe
ID процесса (PID): 1924

Попытка внедрения в процесс:
\\?\C:\WINDOWS\system32\winlogon.exe
ID процесса (PID): 836

Я выбрала из меню Запретить, а что дальше-то? раньше тоже выскакивали окошки svchost.exe выполнил недопустимую операцию (или что-то в этом роде). После отправки отчета MS - говорят вредоносное ПО, но что конкретно надо скачать с их сайта и есть ли оно для удаления непонятно
Помогите, пожалуйста!
Или надо систему переустанавливать?

[Гриша]

Invader это алерт проактивной защиты,он говорит о том,что один процесс пытается внедрится в другой,в вашем случае ничего плохого нет,если вы не понимаете алерты проактивной защиты,лучше отключите ее...

[Zink]

Лучше я не буду... скажите, пожалуйста, а где про них поучиться? - алерты, инвадеры и пр.? В руководстве касперсокго все как-то кратко и для чайников не написано точно, что то или другое действие обозначает. Или он антивирусное ПО для продвинутых делает? так им-то оно не так нужно, как непродвинутым ...спасибо!

[V_Bond]

проактивная защита действительно для продвинутых , она может защитить от неизвестных угроз , от известных защищает файловый сканер и веб антивирус ...

[Rene-gad]

проактивная защита ... может защитить от неизвестных угроз , от известных защищает файловый сканер и веб антивирус ...

Скажем так: Проактивная защита анализирует в первый раз запускаемый неизвестный процесс и спрашивает пользователя о разрешении этому процессу внедрится в жизненно важный системный процесс или службу. Здесь конечно необходимо сотрудничество пользователя, чтобы Разрешить/Запретить или же создать для процесса правило Можно, Нельзя или Каждый раз спрашивать. Защиту от известных угроз (т.е. файл содержит сигнатуру, которая записана в базах, как зловредная) осуществляют монитор - при обращении к файлу пользователем или процессом, или же файловый сканнер - при проверке носителей на вирусы. От неизвестных угроз без запроса пользователя ащищает эвристика, которая проверяет файл и на основании известных угроз может прогностицировать вредоносность неизвестного файла.
В принципе все три механизма могут ошибаться