Не могу поймать негодяя

[qwerty_]

Доброе утро!
Никак не могу отловить заразу которая поселилась в ноутбуке жены. Прошу помощи. Требуемые файлы прилагаю. При выполнении диагностики программы AVZ и HijackThis не запускались. Для запуска использовал рекомендованый в правилах батник, а avz.exe переименовал.
Заранее спасибо!

[PavelA]

Профиксить:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\Katia\LOCALS~1\Temp\init.exe

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('msansspc.dll','');
 QuarantineFile('digiwet.dll','');
 QuarantineFile('digeste.dll','');
 QuarantineFile('C:\DOCUME~1\Katia\LOCALS~1\Temp\init.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\win32x.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\win32x.sys');
 DeleteFile('C:\DOCUME~1\Katia\LOCALS~1\Temp\init.exe');
 DeleteFile('digeste.dll');
 DeleteFile('digiwet.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через http://virusinfo.info/upload_virus.php?tid=46210

Далее надо будет ручками скорректировать реестр.

[qwerty_]

сделал.

[PavelA]

Профиксить:

O20 - Winlogon Notify: crypt - crypts.dll (file missing)

Добавлено через 2 минуты

Вот у этих служб попорчены ссылки:
Фоновая интеллектуальная служба передачи (BITS)
Автоматическое обновление

Надо посмотреть в разделе "Чаво", как через regedit поправить это дело.

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\apphelpg.exe','');
ExecuteRepair(9); 
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам

[qwerty_]

в реестр войти не могу. команда "regedit" не выполняется.

[PavelA]

Сначала выполните скрипт.

[qwerty_]

выполнил, всё равно не пускает.

[PavelA]

АVZ - файл - восст. системы - п.6,8,9,17 отметить и выполнить.
После этого попробовать войти в реестр.

Карантинчик новый пришлите.

[qwerty_]

в реестр вошел, но, извините, не могу найти в факе инструкцию по правке реестра.
новый карантин отослал.

[PavelA]

http://virusinfo.info/showthread.php?t=43700

В реестре искать: %fystemRoot

Добавлено через 1 минуту

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\apphelpg.exe');
ExecuteRepair(9);
ExecuteSysClean; 
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Сделать новые логи.

[qwerty_]

Большое спасибо!
Проблема решена, Windows обновился, диспетчер задач доступен, вроде как всё в полном порядке.
Логи прилагаю.

[PavelA]

Тут еще вот это болтается:
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc

Norton AntiVirus работает?

Если разберетесь еще вот с этим, то тогда заражаться будете реже:
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
Проверка завершена
9. Мастер поиска и устранения проблем
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей

Мастер поиска и устранения проблем - в AVZ через него можно эти вещи поправить.

[qwerty_]

Спасибо, сделаю.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\apphelpg.exe - Trojan.Win32.Agent.cicc ( DrWEB: BackDoor.IRC.Bot.114, BitDefender: Backdoor.IRCBot.ACSF )