Warning!Spyware detected on your computer!

[kot_vg]

Появляется заставка - Warning!Spyware detected on your computer!. В свойствах экрана пропали две закладки.
При бездействии системы ПК перезгружается.
В каталоге c:\windows\system32 сидят 2 файла (phcaa4j0ena8.bmp,plphcaa4j0ena8.scr), которые и выбрасывают вышеуказанную заставку. Пробывала их переименовать, тогда заставка исчезала, но в свойствах экрана закладки отсутствуют.

[Numb]

У вас 2 антивируса на машине. Крайне рекомендуется оставить только один, но если DrWeb такой же старый, как и Касперский, можно удалять оба. Вне зависимости от того, какой антивирус вы решите оставить - обязательно обновитесь до актуальной версии.
На время выполнения скриптов, отключитесь от сети и отключите антивирусные мониторы.
Пофиксите с помощью Hijackthis строки:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\mrcmgr.exe,
O2 - BHO: IE Microsoft extension - {161B953B-95F9-4af3-B071-D5FF5EA132EF} - C:\WINDOWS\system32\mshpc.dll (file missing)
O2 - BHO: MddApp Class - {1A4F919F-4334-4abf-BF47-0836A8B5A54B} - C:\WINDOWS\system32\ddr7xm.dll (file missing)
O4 - HKLM\..\Run: [services] C:\WINDOWS\services.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS\system32\mrcmgr.exe

Программа AVZ - файл - выполнить скрипт - выполните следующий скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Sminst\Recguard.exe','');
 QuarantineFile('C:\WINDOWS\Creator\Remind_XP.exe','');
 QuarantineFile('C:\WINDOWS\system32\ddr7xm.dll','');
 QuarantineFile('C:\WINDOWS\system32\mshpc.dll','');
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\WINDOWS\system32\blphcaa4j0ena8.scr','');
 QuarantineFile('C:\WINDOWS\system32\mrcmgr.exe','');
 QuarantineFile('c:\windows\sminst\VirtDisk.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
 QuarantineFile('c:\windows\sminst\scheduler.exe','');
 DelWinlogonNotifyByFileName('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winae55.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Winae55.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winaw33.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Winaw33.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Wineh88.sys');
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\Wineh88.sys');
 DeleteFile('C:\WINDOWS\system32\mrcmgr.exe');
 BC_DeleteFile('C:\WINDOWS\system32\mrcmgr.exe');
 DeleteFile('C:\WINDOWS\system32\blphcaa4j0ena8.scr');
 BC_DeleteFile('C:\WINDOWS\system32\blphcaa4j0ena8.scr');
 DeleteFile('C:\WINDOWS\services.exe');
 BC_DeleteFile('C:\WINDOWS\services.exe');
 DeleteFile('C:\WINDOWS\system32\mshpc.dll');
 BC_DeleteFile('C:\WINDOWS\system32\mshpc.dll');
 DeleteFile('C:\WINDOWS\system32\ddr7xm.dll');
 BC_DeleteFile('C:\WINDOWS\system32\ddr7xm.dll');
 DelBHO('{1A4F919F-4334-4abf-BF47-0836A8B5A54B}');
 DelBHO('{161B953B-95F9-4af3-B071-D5FF5EA132EF}');
 BC_DeleteSvc('RemoteRegistryProtectedStorage');
 BC_DeleteSvc('ProtectedStoragePlugPlay');
 BC_DeleteSvc('Wineh88');
 BC_DeleteSvc('Winaw33');
 BC_DeleteSvc('Winae55');
 BC_DeleteSvc('tcpsr');
 BC_DeleteSvc('Nuo00');
 BC_DeleteSvc('oseClipSrv');
BC_ImportquarantineList;
BC_Activate;
ExecuteSysClean;
executerepair(1);
executerepair(5);
executerepair(6);
executerepair(8);
RebootWindows(true);
end.

После перезагрузки, карантин AVZ загрузите по ссылке http://virusinfo.info/upload_virus.php?tid=28509 , как написано в прил. 3 правил, и повторите логи, начиная с п. 10 правил.

[kot_vg]

Большое Вам спасибо. Все Ваши замечания учту обязательно. От видимых проблем избавился. Выслал карантин, не смог понять отправился он или нет. Высылаю запрошенные логи.

[Rene-gad]

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelCLSID('{AEB9D4A0-199B-4dfa-A18D-E2DD5D989EDF}');
 QuarantineFile('C:\Program Files\\WinMessenger\Setup\Setup.exe','');
 QuarantineFile('I:\autorun.inf','');
 DeleteFile('I:\autorun.inf');
 DeleteFile('C:\Program Files\\WinMessenger\Setup\Setup.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(7);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[kot_vg]

Не могу понять - карантин Вы получаете или нет. Отправил.
При написании ответа , когда загружал логи к ответу, прервалась связь, поэтому высылаю еще раз. Вопрос: после запуска присланного Вами скрипта - удален файл autorun.inf c диска восстановления (I) - смогу ли я в случае чего восстановить систему без этого файла?

[Rene-gad]

Карантин получен, там все чисто.
Пофиксите

O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

В логах чисто.
Файл I:\autorun.inf можете восстановить из карантина, если он Вам понадобится. Хотя я не понимаю - зачем Вам авторан на диске?
Поставьте Сервис Пак 3

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 39
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\blphcaa4j0ena8.scr - HEUR:Trojan.Win32.Generic (DrWEB: Trojan.Fakealert.1229)