"Critical system error, click here to fix" -- поп-ап из трея

День добрый!

Помогите, пожалуйста. Словил сабж, теперь оно периодически выползает из трея и мешает жить :). При клике -- отправляет на sanitardisca.com. Судя по фаерволу, иногда втихую стучится по разным айпишникам и пытается открыть то pureserver.info, то /ppc/config.phpchk на разных адресах. В процессах его не видно.

Руками нашел два подозрительных неудаляемых файла:
[I]C:\WINDOWS\system32\drivers\vnafudcc.dat
C:\Documents and Settings\User\Local Settings\Temp\pvhwydib.dat[/I]
Собственно, поискав в яндексе их названия, я и вышел на этот сайт.

В системе установлен Symantec Antivirus -- говорит, что все нормально. Проверялся CureIt и AdAware, тоже безуспешно.

SpyBot сообщил, что нашел и вылечил две проблемы:
[I]NNC.MGRS
Win32.AutoRun.aiv[/I]
Но те два файла все равно на своих местах.

В общем, после этого сделал все необходимые процедуры, результаты которых и прилагаю. Спасибо заранее.

PS. И еще, если можно, в порядке ликбеза, подскажите пожалуйста. Как просмотреть список всех сервисов (система WinXP, SP2)? "Стандартные - Администрирование - Службы" выдает явно не весь список. Ну или я чего-то недопонимаю...

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('mglpewgn');
QuarantineFile('C:\WINDOWS\system32\Drivers\vnafudcc.dat','');
QuarantineFile('C:\WINDOWS\system32\datim.dll','');
DeleteFile('C:\WINDOWS\system32\datim.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\vnafudcc.dat');
DelBHO('{1589FCAF-2B5B-4470-97BB-EFA57F4C3C1C}');
BC_DeleteSvc('mglpewgn');
BC_ImportDeletedList;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ....

Выполнил, прислал, вот новые логи.

ничего зловредного в логах не вижу ... осталось удалить ваших антишпионов (бесполезны ... причем все) ...
надеюсь проблем больше нет ...

Антишпионы -- это я вчера, начитавшись форума, все что упоминалось в FAQах понаставил :).

Тем не менее, к pureserver.info периодически стучится по-прежнему :(. Хотя те два файла удалились без проблем, да.

кто куда стучится ... лог фаервола плиззз ....

[CODE]
[19/Jan/2008 00:37:05] DROP "pureserver.info - 217.160.173.234" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1078 -> 217.160.173.234:80, flags: SYN , seq:2137993561 ack:0, win:65535, tcplen:0
[19/Jan/2008 00:37:07] DROP "pureserver.info - 217.160.173.234" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1082 -> 217.160.173.234:80, flags: SYN , seq:1651007075 ack:0, win:65535, tcplen:0
[19/Jan/2008 00:37:09] DROP "pureserver.info - 217.160.173.234" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1083 -> 217.160.173.234:80, flags: SYN , seq:341289211 ack:0, win:65535, tcplen:0
[19/Jan/2008 00:37:11] DROP "217.71.193.11" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1084 -> 217.71.193.11:80, flags: SYN , seq:664655926 ack:0, win:65535, tcplen:0
[19/Jan/2008 00:37:13] DROP "217.71.193.11" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1085 -> 217.71.193.11:80, flags: SYN , seq:1926582893 ack:0, win:65535, tcplen:0
[19/Jan/2008 00:37:15] DROP "217.71.193.11" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1086 -> 217.71.193.11:80, flags: SYN , seq:2596300685 ack:0, win:65535, tcplen:0
[19/Jan/2008 02:26:05] DROP "203.105.3.240" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1191 -> 203.105.3.240:80, flags: SYN , seq:3967140814 ack:0, win:65535, tcplen:0
[19/Jan/2008 02:26:07] DROP "203.105.3.240" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1208 -> 203.105.3.240:80, flags: SYN , seq:1491373577 ack:0, win:65535, tcplen:0
[19/Jan/2008 02:26:09] DROP "203.105.3.240" packet to Dial-In, proto:TCP, len:48, ip/port:{my_ip}:1209 -> 203.105.3.240:80, flags: SYN , seq:2928432072 ack:0, win:65535, tcplen:0
[/CODE]

Это то, что отфильтровалось (я заставил фаервол дропать некоторые самые частые адреса).

[CODE][19/Jan/2008:02:34:29 +0300] "POST http://213.144.15.27/? HTTP/1.0" 200 176
[19/Jan/2008:02:34:30 +0300] "POST http://69.36.51.162/? HTTP/1.0" 200 176
[19/Jan/2008:02:34:30 +0300] "POST http://69.36.51.163/? HTTP/1.0" 200 176 [/CODE]
А это то, что под правила дропа не попало и все-таки прошло фаервол.

inetnum: 217.160.160.0 - 217.160.175.255
netname: SCHLUND-CUSTOMERS
role: Schlund NCC
address: 1&1 Internet AG
address: Brauerstrasse 48
address: D-76135 Karlsruhe
address: Germany

inetnum: 217.71.193.0 - 217.71.193.255
netname: OWS-COLO
role: Orange Web Services
address: Orange Web Services, S.L.
address: Partida del Boch, 151
address: 03330 Crevillent (Alicante)
address: Spain

203.105.3.240
Hong kong
6/F, Somerset House
TaiKoo Place
Quarry Bay
Hong Kong
iAsiaWorks(H.K.)Ltd.

Orange Web Services -- это одна из приблуд фаервола, через нее он пытается определить характер посещаемых адресов. Так что тут да, ложная тревога.

В общем, к pureserver.info 217.160.173.234 ломится по-прежнему, что это такое, я так и не разобрался. 69.36.51.163 и 217.160.183.115 то же самое. Кроме того, в "Моем компьютере" откуда-то появились "Веб-папки" (вот уж чем никогда не пользуюсь), а в "Диспетчере задач" у всех процессов стала пустой колонка "Имя пользователя". Судя по всему, на неделе выберу время и вообще переставлю систему.

[QUOTE=Stormbird;175574]Кроме того, в "Моем компьютере" откуда-то появились "Веб-папки" (вот уж чем никогда не пользуюсь), а в "Диспетчере задач" у всех процессов стала пустой колонка "Имя пользователя".[/QUOTE]Это скрипты AVZ сбросили настройки на дефолтные.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\datim.dll - [B]Rootkit.Win32.Podnuha.y[/B] (DrWEB: Trojan.DownLoader.45437)[*] c:\\windows\\system32\\drivers\\vnafudcc.dat - [B]Rootkit.Win32.Agent.aap[/B] (DrWEB: Trojan.NtRootKit.738)[/LIST][/LIST]