очередная машина заражена спайуэром

[Sharky1984]

всем добрый день опять нуждаюсь в вашей помощи. Виноват тут юзер конечно - установил несколько програмок вроде Антиспайуэр с инета после этого у него пропал диск С с проводника, меню пуск, заблокирован диспечер задач, редактор реестра и т.д. Я нашел эти проги и удалил, редактор реестра вернул и диспечер задач но все время выскакивают сообщения что комп инфицирован спайуэром. Причем остались хвосты в реестрею Посмотрите и если возможно помогите

[Sharky1984]

еще свойства экрана отключены....

[Numb]

На время выполнения скрипта, отключитесь от сети и отключите антивирусный монитор.
Пофиксите с помощью Hijackthis строки:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://dp.smileycentral.com/download/redir.jhtml?dest=congrats&product=smileynopop&partner=ZNfox000&sa=1
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL (file missing)
O2 - BHO: QXK Olive - {9BE1C714-15E1-4ABB-AEBE-FD959B84C430} - C:\WINDOWS\ksendlbtxen.dll
O3 - Toolbar: My Web Search - {07B18EA9-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL (file missing)
O3 - Toolbar: vrmdtneg - {F48E8746-62DF-4CDA-817F-1BDBC9B3A35B} - C:\WINDOWS\vrmdtneg.dll
O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbaredits/menusearch.jhtml?p=ZNfox000
O21 - SSODL: xvorfwbd - {7A34B1DA-101E-4772-9322-34323BDC452C} - C:\WINDOWS\xvorfwbd.dll
O21 - SSODL: wpvmqosg - {108D63E1-2EC8-4113-964D-A39E986F5BF2} - C:\WINDOWS\wpvmqosg.dll

Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\CS38UV9U\spyguarder_install[1].exe','');
 QuarantineFile('c:\windows\wpvmqosg.dll','');
 QuarantineFile('C:\WINDOWS\system32\vav.cpl','');
 QuarantineFile('C:\WINDOWS\vrmdtneg.dll','');
 QuarantineFile('C:\WINDOWS\ksendlbtxen.dll','');
 QuarantineFile('C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL','');
 QuarantineFile('C:\WINDOWS\xvorfwbd.dll','');
 QuarantineFile('C:\WINDOWS\wpvmqosg.dll','');
 DeleteFile('C:\WINDOWS\wpvmqosg.dll');
 BC_DeleteFile('C:\WINDOWS\wpvmqosg.dll');
 DeleteFile('C:\WINDOWS\xvorfwbd.dll');
 BC_DeleteFile('C:\WINDOWS\xvorfwbd.dll');
 DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL');
 BC_DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL');
 DeleteFile('C:\WINDOWS\ksendlbtxen.dll');
 BC_DeleteFile('C:\WINDOWS\ksendlbtxen.dll');
 DeleteFile('C:\WINDOWS\vrmdtneg.dll');
 BC_DeleteFile('C:\WINDOWS\vrmdtneg.dll');
 DeleteFile('C:\WINDOWS\system32\vav.cpl');
 BC_DeleteFile('C:\WINDOWS\system32\vav.cpl');
 DeleteFile('c:\windows\wpvmqosg.dll');
 BC_DeleteFile('c:\windows\wpvmqosg.dll');
 DeleteFile('C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\CS38UV9U\spyguarder_install[1].exe');
 BC_DeleteFile('C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\CS38UV9U\spyguarder_install[1].exe');
 DelBHO('{07B18EA9-A523-4961-B6BB-170DE4475CCA}');
 DelBHO('{9BE1C714-15E1-4ABB-AEBE-FD959B84C430}');
 DelBHO('{F48E8746-62DF-4CDA-817F-1BDBC9B3A35B}');
BC_Activate;
ExecuteSysClean;
executerepair(6);
RebootWindows(true);
end.

Система будет перезагружена. После перезагрузки, карантин AVZ загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=25016 , как написано в прил. 3 правил, и повторите логи, начиная с п. 10 правил.

[Sharky1984]

Файл сохранён как 080620_100531_2008-06-20_485bc73b2dfad.zip
Размер файла 363850
MD5 758a12a142ff14e5785df2394108e8b1

Добавлено через 3 минуты

есть подозрение на 2 файла которых даже АВЗ не нажел подозрительными C:\WINDOWS\evsr.exe и C:\WINDOWS\neltabxw.exe на вирустотале они палятся всего несколькими

Добавлено через 47 секунд

скрипт выполнил вроде все удачно повторяю логи

[Sharky1984]

вроде все нормально после второго сканирования карантин остался пустым. толко вот рядом с часиками осталось надпись VIRUS ALERT!

[Sharky1984]

спасибо большое вы спасли жизнь компьютера и юзера в том числе . Если эту надпись нельзя убрать то пусть так и останется следующий раз научатся не качать всякое д..мо с нета.

Добавлено через 1 минуту

я хочу научится этим делом

Добавлено через 3 минуты

то есть я кое-что уже умею только не все

Добавлено через 51 секунду

к кому обратиться?

[Numb]

Чтобы убрать Virus Alert! , программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
 RegKeyStrParamWrite('HKCU','Control Panel\International','sTimeFormat','H:mm:ss'); 
RebootWindows(true);
end.

После перезагрузки, системные часы должны восстановиться. В логах я ничего плохого не вижу. Проблемы остались какие-нибудь?

[Sharky1984]

нет проблем никаких не осталось с часами я сам расобрался поиском в реестре . спасибо большое и сорри что так долго не ответил