Отсутствующие ярлыки

Всех приветствую!

Проблема возникла после того, как на ПК с Инета было установлено некое Baidu (с иероглифами). Данное ПО было кое-как удалено и после этого после загрузки учетной записи пропадали все ярлыки (из трея, из быстрого запуска, из Пуска и т.д.); не запускалась cmd, mspaint и т.п. Правда, происходило это не при каждом запуске системы, но всё равно напрягало, поэтому было принято решение провести лечение.
В обычном режиме прошелся Kaspersky Removal Tool - тот ничего не обнаружил.
В безопасном режиме прошелся CureIt'ом - тот нашел следующее:

[ATTACH=CONFIG]492458[/ATTACH]

После лечения CureIt'ом работа вроде как нормализовалась, но всё же хотелось бы ради профилактики попросить вас глянуть логи - мало ли чего ещё обнаружится.

Спасибо!

P.S.
[ATTACH]492461[/ATTACH]
[ATTACH]492460[/ATTACH]
[ATTACH]492459[/ATTACH]

Уважаемый(ая) [B]The_Immortal[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('c:\docume~1\alluse~1\applic~1\wincert\win32c~1.dll','');
QuarantineFile('d:\3proxy.exe','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','x86');
DeleteFile('c:\docume~1\alluse~1\applic~1\wincert\win32c~1.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','x64');
DeleteFile('C:\WINDOWS\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job','32');
DeleteFile('C:\WINDOWS\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job','32');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O20 - AppInit_DLLs: c:\docume~1\alluse~1\applic~1\wincert\win32c~1.dll


[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[b]mike 1[/b], всё сделал:

[ATTACH]492494[/ATTACH]
[ATTACH]492493[/ATTACH]
[ATTACH]492492[/ATTACH]

Какой сейчас антивирус используется в качестве основного?

[b]mike 1[/b], [QUOTE=mike 1;1154847]Какой сейчас антивирус используется в качестве основного?[/QUOTE]
Эм... Да честно говоря, никакого...

Китайский антивирус Baidu удаляем?

[b]mike 1[/b], [QUOTE=mike 1;1154852]Китайский антивирус Baidu удаляем?[/QUOTE] Ага. Но он вроде как уже удален - методом тыка удаляли.

Кстати, а Вы не могли бы ещё сказать в связи с чем при загрузке учетки [U]только через раз[/U] происходит полная автозагрузка программ? Т.е. иногда после загрузки винды трей вообще чист - такого быть не может, т.к. в автозагрузке много чего сидит.

[QUOTE]Кстати, а Вы не могли бы ещё сказать в связи с чем при загрузке учетки только через раз происходит полная автозагрузка программ?[/QUOTE]
Возможно из-за наличия рекламных программ, которые мы сейчас удалим.

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Папка Найдено : C:\Documents and Settings\emm\Local Settings\Application Data\Mail.Ru
Папка Найдено : C:\Program Files\Mail.Ru
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[b]mike 1[/b], [QUOTE=mike 1;1154877]Возможно из-за наличия рекламных программ, которые мы сейчас удалим.[/QUOTE]
Удалил, но не помогло: всё равно полная автозагрузка не происходит (точнее через раз-через два).

Скачайте утилиту [URL="https://yadi.sk/d/HeoPGwfQZEaMW"]MiniToolBox[/URL] и сохраните на рабочем столе.

Запустите [U]при подключённом интернете[/U], отметьте следующие пункты:

[LIST][*]Список настроек прокси Internet Explorer[*]Список настроек прокси Firefox[*]Список из файла Hosts[*]Список настроек IP[*]Список настроек Winsock[*]Список последних 10 записей журнала событий[*]Список установленных программ[*]Только проблемных[*]Список юзеров, разделов и размера памяти[*]Список дампа памяти[*]список точек восстановления[/LIST]

и нажмите Старт.

После завершения сбора информации откроется отчет [b]Result.txt[/b], прикрепите его к своему сообщению. Если вы закрыли отчет утилиты, он будет находиться в той же папке, откуда была запущена утилита.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

[b]Vvvyg[/b], сделал:

Ничего подозрительного.

[QUOTE]Percentage of memory in use: 77%
Total physical RAM: 1534.42 MB
Available physical RAM: 347.27 MB[/QUOTE]

Памяти маловато, а программ в автозагрузке избыток. Отревизируйте список установленных програм и деинсталлируйте всё явно лишнее, и то, что как бы нужно, пусть, на всякий случай, будет ;) 3 базы данных точно нужны?

[b]Vvvyg[/b],
[QUOTE=Vvvyg;1154938]
Отревизируйте список установленных програм и деинсталлируйте всё явно лишнее, и то, что как бы нужно, пусть, на всякий случай, будет ;) 3 базы данных точно нужны?[/QUOTE]
Сделал. СУБД за исключением одной действительно нужны.

[QUOTE=Vvvyg;1154938]а программ в автозагрузке избыток[/QUOTE]
Скорректировал (в том числе и службы) и оставил самое необходимое:
[ATTACH=CONFIG]492633[/ATTACH]

Таким образом, сейчас в автозагрузке:
-чат-клиент;
-uvnc-сервер;
-планировщик резервных копий баз 1С;
-сценарий автоподключения VPN (для Локального компьютера);
-др. системные вещи (службы).

По идее, не очень сильная нагрузка. Однако, в трей значки (иконка чата, стандартная иконка Громкости) подгружаются опять-таки через раз.
Плюс VPN-соединение себя странно ведет: при загрузке учетки появляется соответствующее уведомление в трее ("мониторчики"), а потом исчезает - и вместе с тем происходит разрыв связи. Но в настройках этого соединения активирована опция "Перезвонить при разрыве связи" - но перезвон не происходит. Само по себе соединение стабильное (если запускать его вручную). Получается, что возникает какой-то глюк...

На всякий случай сделал [URL="http://rghost.ru/57811790"]повторный образ uVS[/URL]. Посмотрите, пожалуйста... Вдруг что-нибудь обнаружится на этот раз? Уж хочется разобраться с проблемой до конца... Бог с иконками в трее, а вот с соединением бы хотелось решить. Или хотя бы каким инструментарием воспользоваться, дабы обнаружить где зарыта собака?

3Proxy тоже нужен? Пытаться превратить персональный компьютер в сервер чревато...
И отключать системные службы тоже не всегда правильно и безопасно.

В давно установленной системе, где добавлялось и деинсталлировалось множество программ, глюки, увы, неизбежны. Кое-что подчистим.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.83 BETA 25 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

deltmp
delref %SystemRoot%\TEMP\{B0CBA110-FE9A-4FD1-A6CE-A973A8286AE4}\CONT3FLT.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\107\BDCOMPROXY.DLL
delref %SystemDrive%\PROGRAM FILES\BAIDU\BAIDUSD\1.8.0.1255\BDKVDESKBAND.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\107\BDDOWNLOADER.EXE
restart[/code]Компьютер перезагрузится.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[B]Vvvyg[/B], [QUOTE=Vvvyg;1155022]3Proxy тоже нужен? Пытаться превратить персональный компьютер в сервер чревато...
И отключать системные службы тоже не всегда правильно и безопасно.[/QUOTE]
3Proxy, увы, нужен, а системные службы я не отключал. Проблему с соединением и автозагрузкой решил восстановлением всех системных служб в дефолтное состояние. Теперь всё хорошо :-)

И искренне благодарю за чистку!!!

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

[b]Vvvyg[/b], кстати, забыл сообщить, что после лечения у меня перестал работать RDP, который очень нужен. "Службы терминалов" не включается из-за ошибки "126: Не найден указанный модуль". Проверил ветку реестра [B]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermService\Parameters[/B] - там сидит значение [I]%SystemRoot%\System32\termsrv.dll[/I]. Но по этому пути файла termsrv.dll. Вопрос: откуда можно взять этот dll безопасно? Или проблема в чем-то другом?

[quote="The_Immortal;1155465"]Вопрос: откуда можно взять этот dll безопасно?[/quote]
с дистрибутива windows, но лучше

[LIST=1][*]Вставьте диск, с которого устанавливали Windows (либо другой но с той же локализацией и тем же сервис паком (SP) что установлен у вас.[*][LIST][*]Если у вас windows Vista или windows 7 откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".[*]Если у вас windows XP откройте меню Пуск (Start) -> Выполнить (Run)[/LIST]
[*]Введите sfc /scannow и нажмите Энтер.[*]Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка.[*]После того как закончится проверка в командной строке введите команду:
[CODE]findstr /c:"[SR]" %windir%\Logs\CBS\CBS.log>%SYSTEMDRIVE%\sfcdetails.txt[/CODE][*]После выполнения вышеописанных операций в корне системного диска (тот диск,на котором установлена операционная система-как правило диск С) найдите файл sfcdetails.txt, прикрепите его к следующему сообщению.[/LIST]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]