svchost и проблемы с экспловером

Работаю в локальной сети - сервер и три компьютера. Никаких наворотов - только общий доступ к инету и принтеру.
Изменились настройки IE - отключилась JAVA - как подключить обратно - х.з. (чайник я)
В-общем приходится сидеть в Опере, но и она начинает дурить
Короче не все ссылки открываются - это в IE (может из-за той же JAVA), пропал поиск в Оффисе.
Да - крякнул Касперский, щас без Антивируса

Будете объяснять как лечить - подоходчивее пожалуйста

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('NetDDEUPS', 4);
StopService('NetDDEUPS');
QuarantineFile('c:\windows\system32\msab.exe','');
QuarantineFile('svchost.exe','');
QuarantineFile('rdpclicw.dll','');
QuarantineFile('scp3sdhc.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\rtifdh.sys','');
QuarantineFile('C:\Program Files\NetPanel\IEHelper.dll','');
QuarantineFile('C:\WINDOWS\system32\2052l.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\rtusb.SYS','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('c:\windows\system32\msjh32.dll','');
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
QuarantineFile('c:\windows\soundman.exe','');
QuarantineFile('c:\windows\system32\svchost.exe','');
DeleteFile('C:\WINDOWS\system32\cpadvai.dll');
DeleteFile('C:\WINDOWS\system32\2052l.exe');
DeleteFile('c:\windows\system32\msjh32.dll');
DeleteFile('scp3sdhc.dll');
DeleteFile('rdpclicw.dll');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
DeleteService('NetDDEUPS');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportALL;
ExecuteRepair(6);
ExecuteRepair(7);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=16977[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - (no file)
O20 - AppInit_DLLs: scp3sdhc.dll rdpclicw.dll
O20 - Winlogon Notify: ccfgcscd - C:\WINDOWS\
O20 - Winlogon Notify: dx8vndde - C:\WINDOWS\
O21 - SSODL: msjh32.dll - {34D5DEF9-1DA3-49E1-F83D-DA0875193340} - c:\windows\system32\msjh32.dll
[/CODE]

Файл host вы патчили?
Повторите логи...

Спасибо за внимание.
Скрипт выполнил, карантин отправил.
Правда после скрипта - при перезагрузке завис на отключении сетевых подключений, пришлось по-жёсткому перезагружаться.
Потом начал фиксить. При первой попытке - комп вылетел на перезагрузку, со второй получилось, правда не нашёл строку
O20 - AppInit_DLLs: scp3sdhc.dll rdpclicw.dll
Получилась папка backups - что с ней делать?
А фраза:
Файл host вы патчили?
Повторите логи... - меня убила
Знать бы - чё это

[quote=Val64;179158]
Получилась папка backups - что с ней делать?
А фраза:
Файл host вы патчили?
Повторите логи... - меня убила
Знать бы - чё это[/quote]
backups пока не трогайте, после лечения можно будет удалить.
hosts стало быть не патчили, раз не знаете.
Повторить логи, значит заново выполнить п.8-13 правил и прикрепить полученные файлы.

Уфффф
Начал выполнять скрипт №3 - полезло окошко с ошибкой карантина - бесконечное...
перезагрузился, снова та жа беда.
Переустановил АВЗ в другом месте - пролезло
Высылаю

[b]not-a-virus:AdWare.Win32.BHO.kl[/b] IEHelper.dll
Выполните
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
ClearHostsFile;
DelCLSID('34D5DEF9-1DA3-49E1-F83D-DA0875193340');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\srv.sys','');
QuarantineFile('C:\WINDOWS\system32\OPDSL.dll','');
QuarantineFile('c:\windows\system32\msbk32.dll','');
DeleteFile('c:\windows\system32\msbk32.dll');
DeleteFile('C:\Program Files\NetPanel\IEHelper.dll');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Новый карантин тоже пришлите

Докладаю - отправил по верхней ссылке

c:\windows\system32\msbk32.dll - [B]Trojan.PWS.OnlineGames.OOX[/B]
C:\WINDOWS\system32\OPDSL.dll - чистый
srv.sys - прошел по базе безопасных ...
повторите логи ...

Короче всё - не даёт делать логи
Начинает вылазить многократное (бесконечное) окошко - ошибка в АВЗ по адресу 0040254С
Я и перегружался и переустанавливал АВЗ в разных местах - абзац в-общем

ну нечему не давать делать логи ....
- выполните стандартный скрипт 6 ...
если не поможет сделайте принтскрин ошибки авз ...
и приложите лог virusinfo_syscheck.zip

Ух поймал бы я этого рапространителя вирусов
Короче действовал так:
Скрипт №6, потом №3
Перезагрузка
№2 - посередь работы АВХ закрылась
Пришлось снова №6 и №2
Вот
До завтра

Больше ничего подозрительного не видно.

Пофиксите в HijackThis:
[code]
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\Program Files\NetPanel\IEHelper.dll (file missing)
O21 - SSODL: msbk32.dll - {34D5DEF9-1DA3-49E1-F83D-DA0875193340} - (no file)
[/code]
Посмотрите, нужно ли вам что-либо из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК
[/code]
Лишнее отключим.

Пофиксил.
А насчёт служб - ничё не понимаю в этом
Комп рабочий - локальная сеть - сервер и 3 компа.
Основная общая инфа на сервере, но у меня на С и D тоже есть используемая всеми рабочая документация.
И ещё - как провериться, что я теперь чистый?

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 38 минут[/I][/B][/color][/size]

Ну всё - нарисовали мне восклицательный палец, можно и забыть
Делаю проверку АВЗ. Она выдаёт:
Функция kernel32.dll:LoadLibraryExW (580) перехвачена, метод APICodeHijack.JmpTo[600D22FD]
Функция advapi32.dll:SystemFunction035 (619) перехвачена, метод APICodeHijack.JmpTo[600D1541]
Функция wininet.dll:InternetAlgIdToStringA (212) перехвачена, метод APICodeHijack.JmpTo[67001634]
Функция wininet.dll:InternetAlgIdToStringW (213) перехвачена, метод APICodeHijack.JmpTo[670017CF]
Это не страшно?

Крипто Про есть на машине?

Да.
[code]O23 - Service: Служба инициализации Крипто-Про CSP (cpinit) - Компания Крипто-Про - C:\Program Files\Crypto Pro\CSP\cpinit.exe
O23 - Service: Служба хранения и использования ключей Крипто-Про CSP (cprmcsp) - Компания Крипто-Про - C:\Program Files\Crypto Pro\CSP\cprmcsp.exe[/code]

Всё правильно - есть

Боюсь, что ее поломали. :( Удалили библиотеку C:\WINDOWS\system32\cpadvai.dll
Если будут проблемы, то можно попробовать восстановить из карантина.

Чё то не нашёл я такой библиотеки в Систем32
А крипто - наверно можно переустановить?
Или не поможет?

Можно и переустановить. Так наверное надежное будет.

Спасибо.
Сделаем