Вообщем беда)

[Cricket]

Утром при загрузки ОС получил сообщение От антивируса об вирусе.
Занялся "самолечением". Грохнул, по совету антивира, кучу дров). Результат тот же.
Загрузился в Сейф Моде, прогнал курентом - убил C:\Program Files\Microsoft Common\svchost.exe и в C:\Windows\system32\restorer32_a.exe.

В Автозагрузке убрал галку с процесса restorer32_a.exe.


Короче, при норм загрузки Форточки - не подгружается explorer. Указываю прямой путь к нему - результата 0.

Понял, что без помощи знающих и уже проверенных людей, мне не обойтись.

Сделал всё как у вас написанно, кроме одного. Не отключал "Восстановление системы". Ибо как отключить её без explorerа - я не вкурсе.


Очень жду вашего вердикта и помощи.

[AndreyKa]

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
ExecuteRepair(9);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\WINDOWS\vbgtorfd.dll','');
 QuarantineFile('C:\WINDOWS\system32\servises.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvcrt57.dll','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
 DeleteFile('C:\WINDOWS\system32\msvcrt57.dll');
 DeleteFile('C:\WINDOWS\system32\servises.exe');
 DeleteFile('C:\WINDOWS\vbgtorfd.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','vbgtorfd');
 DeleteFile('C:\WINDOWS\services.exe');
 DeleteFile('C:\Documents and Settings\Alex\Local Settings\Temp\1c3d20.msi');
 DeleteFile('C:\WINDOWS\Installer\MSIBDE.tmp');
 RegKeyIntParamWrite('HKLM','SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore','DisableSR',1);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

[Cricket]

Запустил через диспетчер задач AVZ.
Выполнил ваш скрипт. На шаге "Завершение сетевых подключений" - машина затупила мин на 10 (винт моргал раз в 5-7 сек.). Ребутнул Resetом.

После ребута Эксплорер стартанул, но посто янно выскакивает
"explorer.exe - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства."
При нажании кнопки "не отправлять" - выскакивает заного.

Ваши указания выполнил. Вирус в "шапку" залил. Лог прикрепляю.


Жду дальнейших Ваших указаний.

[AndreyKa]

Пришлите файл

C:\WINDOWS\explorer.exe

так, как написано в приложении 2 Правил.

[Cricket]

Выполнил.
В "Шапку" залил.

Забыл добавить. Один из шагов "самолечения" был - замена файла explorer.exe с другого компа.
Замену производил с помощью загрузки с загрузочного диска и путём копирования в VC с поддержкой NTFS.

Добавлено через 1 час 29 минут

Заметил ещё кое что.
после ребута ОЧЕНЬ долго заходит в "Мой компьютер". Идёт какое-то непонятное кэширование.
Кнопка "Пуск" стала маленькой, то есть просто "Пуск" без рисунка рядом.
Там где было "Завершение работы" сейчас "политики (GPMC)". до ребута была написана другая хрень.

Не могу поставить дрова на Видео. Пишет что программа установки ничего схожего не обнаружила. А без дров любые действия как на слайдере.
Обнаружил ранее неизвестный процесс RichVideo. (раньше его не было)
В реестре ссылка была на C:\Program Files\Cyberlink\Shared files\RichVideops.dll.
Зашёл в эту папочку (Shared files) - все файлы в ней были созданы вчерашним числом и одни сёдняшним. (ДвД плеером пользовался очень давно). Удалил нафиг эту папку.

Делаю Ребут.


Ой, я чувствую что я сейчас всё поламаю)
В папке Windows была папочка CSC - кил её.
В папке Windows\system32 файлы d3d9caps и d3d8caps - кил.

[Гриша]

Ждем ответа по файлу...

[Cricket]

Всё затихло и умерло?(

[AndreyKa]

c:\windows\explorer.exe - чистый.
Если есть проблемы - обновляйте базы AVZ и делайте новые логи.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\services.exe - Trojan.Win32.Siscos.fa
  2. c:\windows\system32\msvcrt57.dll - Trojan-PSW.Win32.WebMoner.ln ( DrWEB: Trojan.DownLoad.5244 )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !