Зачистка после fttdll.dll, wowfx.dll & Co

Дали ноут посмотреть: "Окошко мешает работать".
KAV 5 с 2006 года не обновлялся, лицензия закончилась 02.03.2008.
Только одно обновление винды, после SP2.
Столько различной дряни никогода не видел.

После чистки в ручную, 3 прогонов BitDef, 2 - CureIT, откровенно бандитских процессов вроде не осталось.

Однако, есть ещё окопавшиеся гады.
И такая непонятка: пользователь [I]igd[/I], при выходе из сна логин идет для пользователя [I]igd[/I], а первый логин (после перезагрузки, вкл.) для пользователя [I]такр.[/I]

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\spoolvs.exe','');
QuarantineFile('C:\WINDOWS\Installer\{ec320321-606a-4606-b853-ed278f0ec59a}\DriveCheck.dll','');
QuarantineFile('C:\WINDOWS\Installer\{ebd72a9c-a764-4167-85e3-0e7b7306b7eb}\DrvRom.dll','');
QuarantineFile('C:\WINDOWS\Installer\{9c5be8e0-3a95-4203-b59f-5cee971ef0c4}\zip.dll','');
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe','');
QuarantineFile('C:\PROGRA~1\COMMON~1\SYMANT~1\SymcData\idsdefs\20040824.002\symidsco.sys','');
QuarantineFile('C:\WINDOWS\system32\powermgmt.sys','');
BC_DeleteSvc('Schedule');
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
BC_DeleteSvc('Google Online Search Service');
QuarantineFile('C:\WINDOWS\system32\winlagan.exe','');
DeleteFile('C:\WINDOWS\system32\winlagan.exe');
DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\system32\powermgmt.sys');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe');
BC_DeleteSvc('AdvPowerMgmt');
DeleteFile('C:\WINDOWS\system32\spoolvs.exe');
DeleteFile('WLCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....

В дополнение к вышесказанному:

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: Shell=
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - WLCtrl32.dll (file missing)
O21 - SSODL: DriveCheck - {ec320321-606a-4606-b853-ed278f0ec59a} - C:\WINDOWS\Installer\{ec320321-606a-4606-b853-ed278f0ec59a}\DriveCheck.dll (file missing)
O21 - SSODL: DrvRom - {ebd72a9c-a764-4167-85e3-0e7b7306b7eb} - C:\WINDOWS\Installer\{ebd72a9c-a764-4167-85e3-0e7b7306b7eb}\DrvRom.dll (file missing)
O21 - SSODL: zip - {9c5be8e0-3a95-4203-b59f-5cee971ef0c4} - C:\WINDOWS\Installer\{9c5be8e0-3a95-4203-b59f-5cee971ef0c4}\zip.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run', 'autoload');
RegKeyParamDel('HKEY_USERS', '.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run-', 'ntuser');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run-', 'Spoolsv');
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
BC_DeleteSvc('NdisWon');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи, начиная с п.10 правил.

Плохо это или хорошо просветите, но часть файлов удалялась вручную, поэтому
в карантине AVZ только C:\Program Files\Roxio\WinOnCD 6 DVD\Battery.exe
в карантине BitDef'а C:\WINDOWS\system32\spoolvs.exe
C:\Documents and Settings\LocalService\Local Settings\Application Data\cftmon.exe
C:\WINDOWS\system32\powermgmt.sys
если необходимо восстановлю сброшу в карантин AVZ.

Новые логи.
И заморочка с логинами остается.

в логах ничего подозрительного ...

[quote=pavka;209159]если необходимо восстановлю сброшу в карантин AVZ.[/quote]
Восстанавливать не надо. Если есть возможность - содержимое карантина BitDefender'a скиньте по правилам сюда:
[url]http://virusinfo.info/upload_virus.php?tid=20770[/url]

Отправил карантин BitDef'a.
Quarantine_bitdef.zip

Вирлаб ничего подозрительного не нашел

Большое спасибо, всем кто помогал!

Нам интересно Ваше [url=http://virusinfo.info/showthread.php?t=19883]мнение[/url] о нашей работе, будем очень благодарны за ответ. Ваш ответ поможет нам улучшить оказание помощи.

Советуем прочитать [url="http://security-advisory.virusinfo.info/"]электронную книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]32[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]