Какая-то зараза отключила Spider Guard,

[pensioner]

повесила в IE порнуху с сообщениями типа "Отправь СМС-получишь код, чтобы убрать", отключила Mozilla и Opera (слава богу, нашел на компе установочный файл с Мозиллой и переустановил. Spider Guard при этом что-то сканирует, кого-то находит, исцеляет и удаляет. Запуск его вручную увеличивает число найденных и исцеленных. AVPTool в безопасном режиме не запускается, а вчерашняя попытка запустить Curelt вывела на синий экран, перезагрузился кнопкой. DrWeb сканирует, но никого уже не находит. Игровой mail.ru - черный экран.
Высылаю логи

[light59]

"Пофиксите" в HijackThis

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe (file missing)
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\mmmtoeds.dll
O20 - Winlogon Notify: crypt - C:\WINDOWS\SYSTEM32\crypts.dll

В AVZ -> файл-> Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{4F541691-A732-4D3B-AFC6-9011C1A52935}');
 QuarantineFile('C:\WINDOWS\system32\mmmtoeds.dll','');
 QuarantineFile('C:\WINDOWS\C:\WINDOWS\System32\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\wpv161237070981.cpx','');
 DeleteService('winsecguard');
 QuarantineFile('C:\WINDOWS\system32\crypts.dll','');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\gfslib.dll','');
 TerminateProcessByName('c:\windows\microsoft.net\zpx2.exe');
 QuarantineFile('c:\windows\microsoft.net\zpx2.exe','');
 DeleteFile('c:\windows\microsoft.net\zpx2.exe');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\gfslib.dll');
 DeleteFile('C:\WINDOWS\system32\crypts.dll');
 DeleteFile('C:\WINDOWS\system32\wpv161237070981.cpx');
 DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
 DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\cpuz_x32.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\fips32cup.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\i386si.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\ksi32sk.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\netsik.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\nicsk32.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\port135sik.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\securentm.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\systemntmi.sys');
 DeleteFile('C:\WINDOWS\system32\mmmtoeds.dll');
 DeleteFile('digeste.dll');
 DeleteFile('crypts.dll');
BC_Importall;
 BC_DeleteSvc('winsecguard');
 BC_DeleteSvc('systemntmi');
 BC_DeleteSvc('securentm');
 BC_DeleteSvc('port135sik');
 BC_DeleteSvc('nicsk32');
 BC_DeleteSvc('netsik');
 BC_DeleteSvc('Eventlogmnmsrvc');
 BC_DeleteSvc('fips32cup');
 BC_DeleteSvc('cpuz129');
 BC_DeleteSvc('ati64si');
 BC_DeleteSvc('acpi32');
 BC_DeleteSvc('ksi32sk');
 BC_DeleteSvc('i386si');
ExecuteSysClean;
 ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=41868
Повторите логи по правилам.


Это ваше?

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8600
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE00289C-329C-4DA2-A06E-A130B4C7757F}: NameServer = 85.113.62.227 85.113.63.252

[pensioner]

Пофиксил, скрипт выполнил. Карантин отправил. Коды R1 и O17 видел в HijackThis, но что это такое -не знаю. Мозилла пишет : "Firefox настроен на использование прокси-сервера, который отказывает в соединении". Опера пишет :"Ошибка!
Невозможно подключиться к прокси-серверу. Доступ запрещён". Spider Guard по-прежнему не включается.
Сейчас логи сделаю.

[light59]

Это ваше?

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8600
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE00289C-329C-4DA2-A06E-A130B4C7757F}: NameServer = 85.113.62.227 85.113.63.252

[pensioner]

Отправляю логи. Да, в IE порнуха пропала

[pensioner]

Это ваше?

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8600
O17 - HKLM\System\CCS\Services\Tcpip\..\{BE00289C-329C-4DA2-A06E-A130B4C7757F}: NameServer = 85.113.62.227 85.113.63.252

Не совсем понял вопрос, я такого не создавал, не умею

[light59]

значит фиксим это в HiJackthis.
В настройках сетевого подключения укажите адреса DNS выданные вашим провайдером (если такое должно быть у вас)

[pensioner]

O17 пофиксил, а вот R1 такого уже не было. В настройках соединения все автоматически (так при подключении объясняли). Spider Guard по-прежнему с крестом на спине, при попытке запустить вручную пишет в статистике, что обнаружил 2 инфицированных, один излечен, другой удален якобы. Мозилла и Опера пишут то же самое, что-то про прокси-сервер(см. выше)

Добавлено через 4 минуты

а ещё Spider Guard сообщает, что он не может быть запущен, служба не ответила на запрос своевременно (1053).

[PavelA]

После всех Ваших манипуляций сделайте новые логи, полный комплект.

[pensioner]

Отправляю логи. Spider Guard пришлось убить: выгружаться он не хотел, а при выполнении первого скрипта минут 40 они сканировали друг друга, по-моему. Оставшееся время на AVZ при этом менялось от 19 до 18 минут и обратно.

[AndreyKa]

Зловреды убиты. Для очистки реестра запустите AVZ.
Выполните скрипт через меню Файл:

begin
 DeleteService('nicsk32');
 DeleteService('ati64si');
 DeleteFile('C:\WINDOWS\system32\mmmedcgb.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Переустановите антивирус.

[pensioner]

Mozilla по-прежнему пишет: Firefox настроен на использование прокси-сервера, который отказывает в соединении.
Opera :Ошибка!
Невозможно подключиться к прокси-серверу. Доступ запрещён
Spider Guard заработал, спасибо!!!

[AndreyKa]

Отключите использование прокси-сервера в настройках Opera и Firefox.

[pensioner]

Я уже снес их, сейчас переустанавливать буду. Не нашел в настройках ничего похожего

Добавлено через 16 минут

Переустановка не помогла. Помог более тщательный поиск в настройках). Заработали Опера и Мозилла

[pensioner]

а вот что-то пропали калькулятор и игры (стандартные от Винды)

Добавлено через 1 минуту

в играх написано "пусто", а калькулятор не запускается даже через Пуск-Выполнить-calc.exe

[AndreyKa]

Панель управления - Установка и удаление программ - Установка компонентов Windows.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 16
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\all users\application data\gfslib.dll - Trojan-Ransom.Win32.Hexzone.ahw( BitDefender: Trojan.Generic.1560742 )
  2. c:\windows\microsoft.net\zpx2.exe - Trojan-Proxy.Win32.Agent.bjd( DrWEB: Trojan.Proxy.5126, BitDefender: Trojan.Generic.1549476 )
  3. c:\windows\system32\crypts.dll - Trojan-Downloader.Win32.Agent.bkwd( DrWEB: Trojan.DownLoad.31900, BitDefender: Trojan.Generic.1556515 )
  4. c:\windows\system32\wpv161237070981.cpx - Trojan.Win32.Agent.bvja