Сообщение: Warning!Spyware detected on your computer!

[dshpavel]

На прошлой неделе у компьютера поменялась заставка (аналог синего экрана), рабочий стол теперь содержит сообщение "Warning!Spyware detected on your computer!". и поменять его нельзя. Сканировал "Avast!", а потом и "CureIt" нашлась куча троянов, все удалил, но синие экраны не пропали. Что сделать еще?

[Bratez]

Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe,D:\WINDOWS\system32\ntos.exe,
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - D:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL (file missing)
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - D:\PROGRA~1\Skype\Phone\IEPlugin\SKYPEI~1.DLL (file missing)
O20 - Winlogon Notify: yvbb01 - yvbb01.dll (file missing)
O20 - Winlogon Notify: yvpp01 - yvpp01.dll (file missing)

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('D:\WINDOWS\system32\blphc9smj0e1d3.scr','');
 QuarantineFile('D:\WINDOWS\TEMP\winlagon.exe','');
 QuarantineFile('D:\WINDOWS\TEMP\csrssc.exe','');
 QuarantineFile('D:\WINDOWS\system32\yvbb01.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Nsw83.sys','');
 DeleteFile('D:\WINDOWS\System32\Drivers\Nsw83.sys');
 DeleteFile('D:\WINDOWS\system32\yvbb01.sys');
 DeleteFile('D:\WINDOWS\TEMP\csrssc.exe');
 DeleteFile('D:\WINDOWS\TEMP\winlagon.exe');
 DeleteFile('D:\WINDOWS\system32\blphc9smj0e1d3.scr');
 DeleteFile('D:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(16);
ExecuteRepair(17);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил, если будет не пуст
(загружать тут: http://virusinfo.info/upload_virus.php?tid=26011).
Сделайте новые логи, начиная с п.10 правил.

[dshpavel]

Когда фиксил, вылезало сообщение "Редактирование реестра запрещено администратором системы". Сейчас regedit запускается. Карантин пуст.

[Bratez]

Ничего плохого больше не видно.
Можно пофиксить еще это для пущей стерильности:

O16 - DPF: {CAFECAFE-0013-0001-0022-ABCDEFABCDEF} (JInitiator 1.3.1.22) -

Еще какие-нибудь проблемы наблюдаются?

[dshpavel]

Огромное спасибо! На этом компе похоже больше проблем нет. Зато есть на других в офисе. Создавать отдельные темы?

[Bratez]

Да, каждому компьютеру - своя тема.

[dshpavel]

Запустил повторно CureIt, он нашел два трояна. До конца не доработал - вылетел по ошибке (чего раньше не было). Сделал опять логи.

[Bratez]

Логи чистые.