Проблемы с выходом в интернет, подозрительный partnership.dll

Принесли ноутбук... WinXP Proff RUS SP2

При первичной проверке Dr.Web CureIT! - более 90 тел вирусов
удалялись, после перзагрузки - востанавливались.

отключил "сустем ресторе", пробывал лечение в сейф-моде Dr.Web CureIT! и NOD32 - удалялось, но до первой перезагрузки...

снял хард с ноута, подключил через USB как внешний диск на тестовую машину, прогнал cканер NOD32: найдено и убито 4 тела:

F:\Documents and Settings\All Users\Aieoiaiou\Settings\[B]partnership.dll[/B] - Win32/TrojanProxy.Xorpix
F:\WINDOWS\system32\[B]xpdx.sys[/B] - Win32/Rustock.NCG
F:\WINDOWS\system32\drivers\[B]ip6fw[/B].sys - Win32/Rootkit.Agent.DP
F:\WINDOWS\system32\drivers\[B]runtime2.sys[/B] - iiaeoeoe?iaaiiue Win32/Rootkit.Agent.EY

вернул хард на ноут, система загружается "чисто", ни NOD ни CureIT ничего не видят, НО:

1. опять "нарисовался" partnership.dll (нигде никогда не встречал)
2. невозможно выйти в интернет (пытался справится согластно [url]http://z-oleg.com/secur/advice/adv1086.php[/url] - не вышло. Сообщения об ошибках, как указано в [url]http://support.microsoft.com/kb/811259[/url])
3. при входе основным пользователем ноута - не вызывается таск менеждер, пишет, что "отключено администратором"
4. невозможно настроить "автоапдейт".
5. при подключении к сети - в трее появляется иконка автообновления, не реагирующая ни на что, но показывающая, при наведении курсора, 18%

Спасибо за Ваш проект!

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Icon.exe','');
QuarantineFile('C:\WINDOWS\system32\systrv.dll','');
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
DeleteFile('C:\WINDOWS\System32\Icon.exe');
DeleteFile('C:\WINDOWS\system32\systrv.dll');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('Ip6Fw');
ExecuteRepair(6);
ExecuteRepair(11);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=11989[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]
O2 - BHO: Editor plugin - {58599502-305E-4e3f-B35A-14EB0EC26DA0} - paradise.dll (file missing)
O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All Users\Документы\Settings\partnership.dll (file missing)
[/CODE]
[B][COLOR="Red"]если сети так и не будет то воспользуетесь программой [URL="http://www.veldhuizen.speedxs.nl/winsockxpfix.exe"]WinsockFix [/URL],учтите что она сбрасывает все сетевые настройки,поэтому лучше их запомнить или записать.[/COLOR][/B]
Повторите логи.

Файл закачан как 070829_001517_virus_46d500e5ebdc5.zip

Первый старт эксплорера гораздо дольше обычного.

Интернет "не появился", использовал WinsockFix, прописал все параметры сетки - результат отрицательный.

P.S. после выполнения скрипта в карантин попал только 1 из 4 запрошеных в скрипте фалов...
сделать архивчик с требуемым набором "ручками"?

логи формируются... готовы

Как всегда :( Базы AVZ не обновлены.

Параметры сетки точно прописали. Видно только 192.168.1.1 как DNS.
На всякий случай проверьте ipconfig /all из командной строки.

парметры сетки (в свойствах соединения) - прописаны корректно (перепроверил).

базы - сейчас обновлю

затем - пытаюсь выполнить заново скрипт и делаю логи?

при попытке выполнить скрипт - "ошибка прямого чтения" для файлов, которые должны были быть сосланы в карантин (хотя AVZ пишет, что "Скрипт выполнен без ошибок")

...поробывать подключить хард как внешний и снять с него указанные файлы?

[B]ipconfig /all[/B] - все нормально.

В логах теперь всё чисто.Файлов уже нет,от многих тогда были только пути в реестре,но для точности мы их удаляли.Невижу ничего,что бы мешало работать сети...
Указания по решению проблемы с сайта майкрасофт вы выполняли?

Спасибо огромное! (/bow)

Повторил MS процедуры - вроде бы все "ожило" :)

на всякий случай - прикладываю контрольные логи после всех проверок.

Постараюсь выполнить рекомендации, приведенные в книге (к сожалению, не всеми, т.к. пользователю IE роднее, чем устойчивая и экономичная к траффику Opera)
+ NOD32 - на параноика с проверкой траффика...

Вот и славно,в логах всё чисто.Найдите файл "часть доклада к сессии стратегического планирования..doc" и удалите его
[QUOTE]часть доклада к сессии стратегического планирования..doc MailBomb detected ![/QUOTE]
Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL])"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,[URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи!

[QUOTE]часть доклада к сессии стратегического планирования..doc[/QUOTE]

...сейчас препарируем...

интересно, кроме AVZ - ни один "антизверь" его не замечает.

Еще раз ПОКОРНЕЙШЕ БЛАГОДАРЮ!

[size="1"][color="#666686"][B][I]Добавлено через 34 минуты[/I][/B][/color][/size]

[B][SIZE="4"]Все работает, спасибо![/SIZE][/B]

Осталась одна досадность: таск менеджер под основным пользователем (права админа) - заблокирован.

под другими учетными записями - работает.

...где-то в реестре запрет, получается...
ни у кого нет под рукой, где почитать, что поискать?

загрузиться под учёткой админа,запустить AVZ--файл--восстановление системы-- выбрать пункт 11 и нажать выполнить операции
или же можно тоже самое выполнить скриптом
[CODE]begin
ExecuteRepair(11);
end.[/CODE]

Реанимация прошла успешно! :pray:

ОГРОМНОЕ СПАСИБО ЕЩЕ РАЗ! :beer:

[SIZE="1"][I]P.S. маленькая заметка: [url]http://virusinfo.info/upload_clean.php[/url] - после закачки архива не дает подтверждения, как было при посылке карантина, а просто пропадает путь к файлу и все... [/I][/SIZE]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]