Нет надписей на кнопках в Windows XP [not-a-virus:RiskTool.Win32.HideExec.r, , Trojan.Win32.FakeGina.do ]

Здравствуйте. Пропали надписи на кнопках в таких окнах как запуск соединения PPPoE или VPN. То есть сами кнопки "Подключить" "Отмена" пустые. Так же при сохранении файла, нет вводимых символов. При просмотре свойств системы, вкладки тоже пустые, без подписей, хотя первая вкладка с самими свойствами отображается. Cure It побоялся запускать. В прошлый раз с месяц назад после такой проверки начались проблемы с самой ОС. Пришлось восстанавливать с установочного диска. Ещё NOD32 ругался при запуске на Carberp.M. Но не мог почему-то его удалить. А сейчас уже не ругается. Вот не пойму это с ОС проблема или вирусы заполонили.

Уважаемый(ая) [B]lonmi[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте !!!

Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\system32\xtgina.dll','');
QuarantineFile('C:\Documents and Settings\Admin\Start Menu\Programs\Startup\start0.exe','');
QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\Mozilla\ccduouj.exe','');
QuarantineFile('C:\WINDOWS.0\system32\machineupper32.exe','');
QuarantineFile('C:\WINDOWS.0\System32\BeTwinServiceXP.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\Rar$EX04.453\kerneld.wnt','');
DeleteFile('C:\WINDOWS.0\system32\machineupper32.exe','32');
DeleteFile('C:\DOCUME~1\Admin\APPLIC~1\DSite\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\WINDOWS.0\Tasks\At1.job','32');
DeleteFile('C:\DOCUME~1\Admin\APPLIC~1\DealPly\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\WINDOWS.0\Tasks\At2.job','32');
DeleteFile('C:\Program Files\DealPly\DealPlyUpdate.exe','32');
DeleteFile('C:\WINDOWS.0\Tasks\DealPlyUpdate.job','32');
DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\Mozilla\ccduouj.exe','32');
DeleteFile('C:\WINDOWS.0\Tasks\ojovbfb.job','32');
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Debugger 32');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]

Пофиксите в HijackThis:
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{88281B2D-9F96-4AC5-BF3F-FF6B07DD487A}: NameServer = 80.82.209.180[/CODE]

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

Вроде сделал

Пофиксите в HijackThis:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS.0\system32\userinit.exe[/CODE]
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\Admin\Start Menu\Programs\Startup\start0.exe','');
QuarantineFile('C:\WINDOWS.0\System32\BeTwinServiceXP.exe','');
QuarantineFile('C:\WINDOWS.0\system32\xtgina.dll','');
DeleteFile('C:\WINDOWS.0\system32\xtgina.dll','32');
DeleteFile('C:\Documents and Settings\Admin\Start Menu\Programs\Startup\start0.exe','32');
DeleteFile('C:\WINDOWS.0\system32\betwinservicexp.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

Спасибо за оперативность. А вот я торможу. Я только завтра смогу проделать эти действия :(

Итак.
Пофиксил строку HijackThis.
Выполнил скрипт в AVZ, и после перезагрузки выдало сообщение "ошибка пользотельсокого интерфейса" кажется. В окне надпись "DLL xtgina.dll". Внизу одна кнопка. Без надписи. При ее нажатии окно закрывается и через секунд 10 опять перезагрузка. Пару раз так перезагрузился. Потом загрузкился в безопасном режиме и восстановился с контрольной точки за 2 октября. Есть варианты что это было?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

А. В скрипте похоже удаляется эта библиотека. Может как-то по другому попробуем?

Выложите новые логи.

Вот:

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\WINDOWS.0\system32\xtgina.dll','');
QuarantineFile('C:\WINDOWS.0\system32\betwinservicexp.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Start Menu\Programs\Startup\start0.exe','');
DeleteFile('C:\Documents and Settings\Admin\Start Menu\Programs\Startup\start0.exe','32');
DeleteFile('C:\WINDOWS.0\system32\xtgina.dll','32');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
ExecuteRepair(21);
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Это [B]C:\WINDOWS.0\system32\betwinservicexp.exe[/B] сами себе устанавливали?

Сделайте новые логи AVZ

[LIST][*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]32 разрядная версия windows[/URL][/B], то скачайте [url=http://safezone.cc/random/RSIT.exe][B]Random's System Information Tool (RSIT)[/B][/url] или с [url="http://images.malwareremoval.com/random/RSIT.exe"]зеркала[/url] [*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]64 разрядная версия windows[/URL][/B], то необходимо скачать эту версию [URL="http://safezone.cc/random/RSITx64.exe"][B]Random's System Information Tool(RSIT)x64[/B][/URL] или с [URL="http://images.malwareremoval.com/random/RSITx64.exe"]зеркала[/URL][/LIST]
Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.

Все отключаю как вы говорите. Учетка в Windows XP используется одна. Администраторская. И....
Опять та же ситуация, как описано мною выше. То же окно с сообщением "Ошибка пользовательского интерфейса" и в окне "DLL xtgina.dll". Так же кнопка без надписи и перезагрузка при нажатии на нее. Опять восстановился в безопасном режиме.
Мне после восстановления продолжать выполнять предложенную вами последовательность?
[QUOTE=mike 1;1045556]

Это [B]C:\WINDOWS.0\system32\betwinservicexp.exe[/B] сами себе устанавливали?

[/QUOTE]
А что это? Я не знаю даже.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Логи опять снял на всякий случай:

Я просил сделать логи RSIT, а не лог HiJackThis.

Хорошо. Я завтра сделаю логи RSIT

Вот:

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Mjeeeq.exe','');
QuarantineFileF('C:\Documents and Settings\Admin\Application Data\ujgieauf', '*', true, ' ', 0, 0);
QuarantineFileF('C:\Documents and Settings\All Users\Application Data\IBank', '*', true, ' ', 0, 0);
QuarantineFileF('C:\Documents and Settings\Admin\Application Data\EMgTQGOSUus', '*', true, ' ', 0, 0);
DeleteFile('C:\Documents and Settings\Admin\Application Data\Mjeeeq.exe','32');
DeleteFile('C:\WINDOWS.0\system32\xtgina.dll','32');
DeleteFile('C:\WINDOWS.0\System32\BeTwinServiceXP.exe','32');
DeleteFile('C:\Documents and Settings\Admin\Start Menu\Programs\Startup\start0.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg','Mjeeeq');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\System','Windows Debugger 32');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list','C:\WINDOWS\system32\svchost.exe','C:\WINDOWS\system32\svchost.exe:*:Enabled:ipsec');
DeleteFileMask('C:\Documents and Settings\All Users\Application Data\IBank', '*', true, ' ');
DeleteFileMask('C:\Documents and Settings\Admin\Application Data\EMgTQGOSUus', '*', true, ' ');
DeleteFileMask('C:\Documents and Settings\Admin\Application Data\ujgieauf', '*', true, ' ');
DeleteDirectory('C:\Documents and Settings\Admin\Application Data\ujgieauf');
DeleteDirectory('C:\Documents and Settings\All Users\Application Data\IBank');
DeleteDirectory('C:\Documents and Settings\Admin\Application Data\EMgTQGOSUus');
DeleteService('BeTwinVideo');
DeleteService('BeTwinSystem');
DeleteService('BeTwinKeyboard');
DeleteService('BeTwinMouse');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

MPK-кейлоггер сами устанавливали?

Сделайте новые логи AVZ, RSIT

Сделайте лог полного сканирования MBAM ([URL]http://virusinfo.info/showthread.php?t=53070[/URL])

Добрый день.
Снова после выполнения скрипта и перезагрузки, ошибка "Ошибка пользовательского интерфейса" и не грузится. Восстановил с контрольной точки, опять.
[QUOTE]Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы[/QUOTE]
При загрузке архива quarantine.zip система ругается, что такой файл уже загружен. А при создании архива карантина из AVZ по правилам Приложения 2, в правой части окна нет файлов для архивирования.
[QUOTE]MPK-кейлоггер сами устанавливали?[/QUOTE]
Я думаю очень вряд ли.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Сейчас сканирую MBAMом.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Вот лог MBAMa. Правда пришлось его запаковать. Полный лог вешал почти 500 КБ, и при загрузке не давало его прикрепить.

1. Удалите ([url]http://windows.microsoft.com/ru-ru/windows7/delete-a-restore-point[/url]) все старые точки восстановления системы. После удаления всех точек восстановления системы создайте новую.

Удалите в MBAM все [B]кроме[/B]:

[CODE]
Объекты реестра обнаружены: 1
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

Обнаруженные файлы:
C:\WINDOWS\system32\ctfmon.exe (Trojan.FakeMS) -> Действие не было предпринято.
D:\Distr\TheBat_Pro_3.99.29.rar (Trojan.Agent.CK) -> Действие не было предпринято.
D:\Distr\TheB_K.rar (Trojan.Agent.CK) -> Действие не было предпринято.
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

[b]mike 1[/b], а можно я удалю на всякий случай и последние две строки в приведенной вами инструкции. Вот эти:
[QUOTE]D:\Distr\TheBat_Pro_3.99.29.rar (Trojan.Agent.CK) -> Действие не было предпринято.
D:\Distr\TheB_K.rar (Trojan.Agent.CK) -> Действие не было предпринято.[/QUOTE]
Мне эти файлы не нужны

Если не нужны, можете удалить и эти строки тоже.

Новый лог