Компьютер заражен вирусами [Trojan-Downloader.Win32.Agent.azdt, Backdoor.Win32.Hupigon.fkww ]

[TornadoBS]

Комп начал странно себя вести: сначала перестал нормально завершать работу - выключение только по кнопке. Когда начал исследовать проблему, не смог загрузиться в безопасном режиме - после начала загрузки он перегружался. Не показывал данные "Мой компьютер", можно было зайти только в конкретную папку по ярлыку или введя ее имя в строке Проводника. Постоянно какие-то программы лезли в автозагрузку. Обратил внимание на огромный исходящий трафик. Многие программы перестали загружаться - просто висли...
Начать лечение стало возможно только после удаления из system32 4-х файлов имя которых начиналось с "tak" еще 2 буквы не помню, расширение exe и жесткой перезагрузки. Только после этого смог запустить Kasp Virus Removal, который нашел 61 вирус - трояны, ворм, пакт, адвар, и удалил эти файлы.
После этого сделал почти все в соответствии с правилами, кроме ХайДжека. Он не запускается, предлагает искать поисковиком винда. Файл скачал заново, но ситуация та же.
Прилагаю также отчет KVR.
Нужна помощь!

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('WINS');
 QuarantineFile('C:\WINDOWS\system32\winos.exe','');
 QuarantineFile('C:\WINDOWS\system32\takyx.exe','');
 DeleteService('takyx');
 DeleteService('takyd');
 QuarantineFile('C:\WINDOWS\system32\takyd.exe','');
 QuarantineFile('C:\WINDOWS\system32\takxx.exe','');
 DeleteService('takxx');
 DeleteService('taksw');
 QuarantineFile('C:\WINDOWS\system32\taksw.exe','');
 QuarantineFile('C:\WINDOWS\system32\takgu.exe','');
 DeleteService('takgu');
 DeleteService('takfl');
 QuarantineFile('C:\WINDOWS\system32\takfl.exe','');
 DeleteService('RiSingKaKa');
 QuarantineFile('C:\WINDOWS\system32\RiSing.exe','');
 DeleteFile('C:\WINDOWS\system32\RiSing.exe');
 DeleteFile('C:\WINDOWS\system32\takfl.exe');
 DeleteFile('C:\WINDOWS\system32\takgu.exe');
 DeleteFile('C:\WINDOWS\system32\taksw.exe');
 DeleteFile('C:\WINDOWS\system32\takxx.exe');
 DeleteFile('C:\WINDOWS\system32\takyd.exe');
 DeleteFile('C:\WINDOWS\system32\takyx.exe');
 DeleteFile('C:\WINDOWS\system32\winos.exe');
 DeleteFile('yes.exe');
 DeleteFile('C:\Program Files\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL');
 DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\F3POPSWT.DLL');
 DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\M3OUTLCN.DLL');
 DeleteFile('C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL');
BC_ImportDeletedList;
ExecuteRepair(9);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[TornadoBS]

Скрипт выполнил, но после его выполнения, когда комп ушел в перезагрузку он завис и выключился только по кнопке.

Вкладываю карантин, новые логи. Да, и ХайДжек тоже запустился.

[V_Bond]

читаем приложение 3 правил ...

[TornadoBS]

Прошу прощения! (Читать нужно внимательней!)

Я все загрузил.

[V_Bond]

в логах ничего плохого , что с проблемами ?

[TornadoBS]

Пока вроде проблем уже нет....
но какая-то программа без имени без названия просит вставить ассоциацию для расширения scr. Я ее не пускаю (scotty), но через 10-15 мин она повторяет запрос.
Раньше этого не было, она начала появляться во время лечения...

[V_Bond]

скриншет окна сделайте ...

[TornadoBS]

Как выскочит, сделаю...

И еще сейчас проверил, не могу загрузиться в безопасном режиме... после выбора системы бегут строки команд, и через несколько секунд комп перегружается....

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ExecuteRepair(10);  
RebootWindows(true);
end.

Сообщите что с безопасным режимом...

[TornadoBS]

А вот и СкринШот:

[TornadoBS]

Скрипт сделал.... Безопасный режим загрузился!

Добавлено через 6 часов 35 минут

Что же можно сделать с этой ассоциацией?

[V_Bond]

ассоциации SCR файлов восстанавливаются при помощи авз- мастер поиска и устранения проблем ...

[pig]

Лог HijackThis при появлении окна сделайте (окно не закрывайте).
Вообще это похоже на какого-то доморощенного антишпиона.

P.S. Правильная команда для этого расширения:

"%1" /S

Посмотрите в HKCR\scrfile\shell\open\command

[TornadoBS]

ассоциации SCR файлов восстанавливаются при помощи авз- мастер поиска и устранения проблем ...

Мастер выдал только очистку кэшей, загрузки с CD, очистку темпов, историй и т.п. Эту проблему он не исправил...

Лог HijackThis при появлении окна сделайте (окно не закрывайте).
Вообще это похоже на какого-то доморощенного антишпиона.

Лог сделал при висящем окне ошибки, прикладываю, но такой строки в нем нет: HKCR\scrfile\shell\open\command ....
Scotty - отслеживает всякие изменения реестров, ассоциаций, автозагрузок на предмет несанкционированного прописания вредных или ненужных программ - это антишпион? Программа еще называется WinPatrol.

Что можно сделать еще?

[TornadoBS]

Вот лог ХайДжека.

[pig]

А, понятно, вы знаете, что такое scotty, вас смущают пустые NAME и Company name... Это нормальная реакция системы (информация явно от неё) на ассоциации такого типа, когда файл открывается самим собой. Естественно, заранее никак нельзя определить имя приложения и его "отцов".

В реестре посмотрите значение в ключе HKEY_CLASSES_ROOT\scrfile\shell\open\command - что там сейчас?

[TornadoBS]

В реестре посмотрите значение в ключе HKEY_CLASSES_ROOT\scrfile\shell\open\command - что там сейчас?

REG_SZ "%1" /S

У меня есть подозрение, что это связано с удаленным MyWebSearch в процессе лечения компа.... Не могу сказать точно, но похожее сообщение выскакивало до лечения именно на программу или надстройку MyWebSearch.... А после лечения стало появляться вот такое безымянное сообщение....

Может где-то нужно подчистить?
Запрос корректировки из чего-то же возникает....

[TornadoBS]

Может кто-нибудь подсказать как убрать эту ошибку?

[pig]

А если сказать scotty "Да" - что будет? Он успокоится или нет и что пропишется в реестре?