Trojan.Win32.BHO.abo

сначала начал глючить интернет-эксплорер: в в гугле и яндексе при попытке отрыть результаты поиска открываются совершенно левые страницы. я установил нортон сканер, он нашел и удалил несколько червей. трояна Trojan.Win32.BHO.abo он вылечить не смог. потом я установил касперского, он тоже не вылечил. после этого комп стал перезагружаться самопроизвольно через минуту после запуска. при этом если выключать касперского, то этого не происходит.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\oleauth32.dll','');
QuarantineFile('C:\WINDOWS\system32\mstscex.dll','');
QuarantineFile('c:\windows\system32\admpars.dll','');
DeleteFile('C:\WINDOWS\system32\oleauth32.dll');
DeleteFile('C:\WINDOWS\system32\mstscex.dll');
DeleteFile('c:\windows\system32\admpars.dll');
BC_ImportAll;
BC_QrFile('C:\WINDOWS\System32\drivers\hevdsqqx.dat');
BC_DeleteFile('C:\WINDOWS\System32\drivers\hevdsqqx.dat');
BC_DeleteSvc('rwsacwnk');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O2 - BHO: (no name) - {17E0D391-8F23-4A38-B128-18D3F41C2DBC} - C:\WINDOWS\System32\admpars.dll[/CODE]

[SIZE=3][FONT=Times New Roman]есть похожая:[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]O2 – BHO: AcroIEHIprObj Class – {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} – C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx[/FONT][/SIZE]
[SIZE=3][/SIZE]
[SIZE=3][FONT=Times New Roman]что фиксить-то в итоге?[/FONT][/SIZE]

сделайте новые логи ....

логи сделал, но по-прежнему нет нужной строки

Выполните скрипт:
[code]begin
RegKeyDel('HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\','rwsacwnk');
BC_DeleteSvc('rwsacwnk');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\System32\drivers\hevdsqqx.dat');
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\System32\drivers\hevdsqqx.dat');
BC_DeleteSvc('rwsacwnk');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Затем сделайте повторно лог virusinfo_syscure.zip
В HiJackThis ничего фиксить не надо, AVZ сам все почистил

вот

Чисто.
Что из этого не нужно?
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

могу сказать, что нужно:
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя


а про остальное мне сложно сказать, нужно или нет. мне кажется, что для моего домашнего ПК большинство этих служб не пригодится

[code]begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('Alerter', 4);
SetServiceStart('Messenger', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]

код выполнил.
касперский перестал ругаться на вирус, но по-прежнему, если его не отключать при запуске, комп самопроизвольно перезагружается через минуту. в чем тут может быть дело? может к черту касперского?))
и еще: стоит ли обратно включить восстаносвление системы?

Касперский - хороший антивирус, зря Вы так...
Восстановление можно включить.
Может процессор греется? Проблемы с блоком питания?

до установки Касперского процессор не грелся, с блоком питания проблем тоже вроде не было...
в любом случае спасибо вам огромное, что вылечили трояна!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\admpars.dll - [B]Rootkit.Win32.Podnuha.y[/B] (DrWEB: Trojan.DownLoader.37561)[*] c:\\windows\\system32\\mstscex.dll - [B]Trojan-Downloader.Win32.Agent.bnm[/B] (DrWEB: Trojan.Rawlam)[*] c:\\windows\\system32\\oleauth32.dll - [B]Trojan-Downloader.Win32.Agent.bnm[/B] (DrWEB: Trojan.Rawlam)[/LIST][/LIST]