Слишком много "кушается" траффика.

Здравствуйте!Я опять пришла к вам с просьбой о помощи.Не откажите!:(
Не знаю,бывают ли такие вирусы,но мне кажется,что у меня какой-то гад "кушает",если можно так выразиться, интернетовский траффик.Денежки со чета в ЛК улетучиваются за последние три дня столько,сколько тратилось раньше за месяц.Хожу туда же,куда и раньше,фильмы не скачивала.Ваш сайт,к примеру,сегодня у меня будто бы съел больше 30 МБ:O,пока я открывала "Правила" и скачивала утилиты.
Началось с того,что компьютер при выходе в инет стал выключаться сам буквально через 2-5 мин.Нашла кучу вирусов,сейчас не отключается,но при включении комп долго не может,как это сказать,загрузиться что ли.И вообще,какой-то чудной мой "друг".Посмотрите,плиз!
P.S.Извините,если чего-то не так прикрепила,не нашла ту темку,по которой в пршлый раз создавала сообщение:girl_sad:

Пофиксите
[CODE]F2 - REG:system.ini: Shell=Explorer.exe "C:\WINDOWS\system32\smfo472.exe"
O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - C:\WINDOWS\system32\ipv6monl.dll
O4 - HKLM\..\Run: [runwinlogon] C:\WINDOWS\winlogon.exe
O4 - HKLM\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe
O4 - HKLM\..\Run: [autoload] C:\Documents and Settings\User\cftmon.exe
O4 - HKCU\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\User\cftmon.exe
O4 - HKCU\..\Run: [WintelUpdate] C:\DOCUME~1\User\LOCALS~1\Temp\1BCD.tmp.exe
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [system] C:\WINDOWS\sys.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [system] C:\WINDOWS\sys.exe (User 'Default user')
O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\SYSTEM32\WinNt32.dll
O23 - Service: Google Online Services - Unknown owner - C:\Documents and Settings\User\ie_updates3r.exe
O23 - Service: Machine Debug Manager MDMPlugPlay (MDMPlugPlay) - Unknown owner - C:\WINDOWS\system32\ALSNDMGRr.exe
O23 - Service: QoS RSVP RSVPProtectedStorage (RSVPProtectedStorage) - Unknown owner - C:\WINDOWS\system32\ahuiu.exe
O23 - Service: Ïëàíèðîâùèê çàäàíèé (Schedule) - Unknown owner - C:\WINDOWS\system32\drivers\spools.exe
O23 - Service: Îïðåäåëåíèå îáîðóäîâàíèÿ îáîëî÷êè ShellHWDetectionRemoteRegistry (ShellHWDetectionRemoteRegistry) - Unknown owner - C:\WINDOWS\system32\3com_dmim.exe[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\smfo472.exe');
TerminateProcessByName('c:\documents and settings\user\ie_updates3r.exe');
TerminateProcessByName('c:\documents and settings\user\cftmon.exe');
StopService('Agl38');
DeleteService('Agl38');
StopService('tcpsr');
DeleteService('tcpsr');
StopService('RSVPProtectedStorage');
DeleteService('RSVPProtectedStorage');
StopService('Schedule');
DeleteService('Schedule');
StopService('Ygl84');
DeleteService('Ygl84');
StopService('Chm51');
DeleteService('Chm51');
StopService('Chm38');
DeleteService('Chm38');
StopService('Mrw73');
DeleteService('Mrw73');
StopService('Gmr27');
DeleteService('Gmr27');
StopService('qandr');
DeleteService('qandr');
StopService('Oty27');
DeleteService('Oty27');
StopService('ShellHWDetectionRemoteRegistry');
DeleteService('ShellHWDetectionRemoteRegistry');
StopService('Google Online Services');
DeleteService('Google Online Services');
StopService('MDMPlugPlay');
DeleteService('MDMPlugPlay');
StopService('Tye73');
DeleteService('Tye73');
StopService('Rwc27');
DeleteService('Rwc27');
StopService('Pua40');
DeleteService('Pua40');
QuarantineFile('C:\WINDOWS\System32\Drivers\Tye73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rwc27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Pua40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Oty27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Mrw73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Gmr27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Chm51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Chm38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Agl38.sys','');
QuarantineFile('qandr.sys','');
QuarantineFile('C:\WINDOWS\system32\3com_dmim.exe','');
QuarantineFile('C:\WINDOWS\system32\ALSNDMGRr.exe','');
QuarantineFile('C:\WINDOWS\system32\ahuiu.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\qandr.sys','');
DelBHO('{36DBC179-A19F-48F2-B16A-6A3E19B42A87}');
QuarantineFile('WinNt32.dll','');
QuarantineFile('C:\WINDOWS\sys.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Xej27.sys','');
QuarantineFile('C:\WINDOWS\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
QuarantineFile('C:\WINDOWS\system32\smfo472.exe','');
QuarantineFile('C:\WINDOWS\system32\apcupsa.dll','');
QuarantineFile('C:\WINDOWS\system32\alrsvce.dll','');
QuarantineFile('C:\Documents and Settings\User\ie_updates3r.exe','');
QuarantineFile('C:\Documents and Settings\User\cftmon.exe','');
QuarantineFile('c:\windows\winlogon.exe','');
TerminateProcessByName('c:\windows\winlogon.exe');
QuarantineFile('c:\windows\system32\smfo472.exe','');
QuarantineFile('c:\documents and settings\user\ie_updates3r.exe','');
QuarantineFile('c:\documents and settings\user\cftmon.exe','');
DeleteFile('c:\documents and settings\user\cftmon.exe');
DeleteFile('c:\documents and settings\user\ie_updates3r.exe');
DeleteFile('c:\windows\system32\smfo472.exe');
DeleteFile('c:\windows\winlogon.exe');
DeleteFile('C:\Documents and Settings\User\cftmon.exe');
DeleteFile('C:\Documents and Settings\User\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\system32\alrsvce.dll');
DeleteFile('C:\WINDOWS\system32\apcupsa.dll');
DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
DeleteFile('C:\WINDOWS\system32\smfo472.exe');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\winlogon.exe');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\system32\ahuiu.exe');
DeleteFile('C:\WINDOWS\system32\ALSNDMGRr.exe');
DeleteFile('C:\WINDOWS\system32\3com_dmim.exe');
DeleteFile('qandr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Agl38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Chm38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Chm51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Gmr27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Mrw73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Oty27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Pua40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rwc27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Tye73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xej27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ygl84.sys');
DeleteFile('C:\WINDOWS\sys.exe');
DeleteFile('Explorer.exe C:\WINDOWS\system32\smfo472.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\drivers\qandr.sys');
DeleteFile('F:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки повторите логи и закачайте карантин.

Пофиксить-это [URL]http://virusinfo.info/showthread.php?t=4491[/URL] :scratch_one-s_head:?
Скрипт-это [URL]http://virusinfo.info/showthread.php?t=7239[/URL] :search: ?

Да

Пофиксила.А когда скрипт "выполняла",все чего-то остановилось,все значки с рабочего стола пропали.Одна картинка осталась.И комп не откликался.Вообще ни на что.Пришлось через 5 мин.ему дать пощёчину в виде отключения электричества.Наверно,это жутко не правильно,но по-другому не знала,как его в чувство привести:?.И не знаю теперь,получились ли логи.Вот хотела послать,чего вышло:(.А [COLOR=brown][FONT=Verdana]AVZ [SIZE=2][COLOR=black]теперь[/COLOR] [/SIZE][COLOR=black][SIZE=2]какие-то цифры мне выдает вместо кнопок "файл" и т. д.наверху и Hijack this не открывается:O[/SIZE].[SIZE=2]Еще раз перезагрузиться?[/SIZE][/COLOR][/FONT][/COLOR][COLOR=black]А[/COLOR] еще,вопросик:а отключенное "восстановление системы" не надо было включить:O?
Перезагрузилась,ничего не изменилось.Мож,заново эти программы скачать и заново пофиксить и скрипты сделать?Это не скажется на достоверности информации в логах,которые я Вам пошлю после сканирования заново скачанными утилитами?

p.s.А трафик вродь по-меньше стал расходоваться.А мож,это у мну глюки уже...

Запустите АВЗ, Файл/Восстановление системы, отметить пункт 1, Выполнить.
Повторите 3 лога, никаких скриптов пока выполнять не надо :)
[QUOTE]а отключенное "восстановление системы" не надо было включить[/QUOTE]Не надо :)

Прошу прощенья за бестолковость,но АВЗ мне кажется "сломалась" у меня:я ее открываю,мне для начала выдают окно "Выбор программы",где предлагают выбрать программу для открытия данного файла.В силу своей недалекости,окошко закрываю и запускаю АВЗ от имени администратора.Утилита открывается,но вместо кнопок типа "файл","сервис","AVZGuard" и т.д. на верхней панели у меня красуются непонятные наборы циферок и значечков типа [?1109?], [?945?],ну, "AVZGuard" так и осталось "AVZGuard".А открываю меню кнопки,которая по идее должна быть "файл",так там тож непонятные [?284?],[?700?] и т.д.Нажимаю непонятную несуразицу,которая по идее должна быть "восстановление системы",так там вообще не знаю,как описать,какие непонятки:O.Вот.Мож мне новую утилиту скачать.Вернее,она у меня уже есть скачанная на флешке.Там она тож открывается только от имени админа,но там хоть с кнопками все понятно, и "файл" и "восстановление системы" имеются:O.

[QUOTE=TUOv;230555]Прошу прощенья за бестолковость,но АВЗ мне кажется "сломалась" у меня:я ее открываю,мне для начала выдают окно "Выбор программы",где предлагают выбрать программу для открытия данного файла.[/QUOTE]Переименуйте avz.exe в 1.pif и запустите так. Потом эапустите 1.pif , Файл/Восстановление системы, отметить пункт 1, Выполнить.

Перименовала.Сама все равно не запускается и кнопки так и остались непонятным набором символов:(.
Дык а почему нельзя с флешки АВЗ запустить:girl_wacko:?

[QUOTE=TUOv;230569]Перименовала.Сама все равно не запускается[/QUOTE]
Попробуйте скачать отсюда [url]http://z-oleg.com/avz.exe[/url], переименовать и запустить.
Базы для этой версии обновлять не нужно.

Можно попробовать запускать правой кнопкой мыши, выбирая "Запуск от имени".

[b]Bratez[/b],так и делала,но утилита открывалась с непонятными наборами символов вместо кнопок.Я не могла определить,где чего.Вот :(.
[b]Rene-gad[/b],
скачала.Открыла.Запустила "восстановление системы".Теперь все открывается.Сделала логи.Вроде так.Посмотрите?

Восстановление системы - Отключить !!!
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Vch73');
BC_DeleteSvc('asc3550p');
BC_DeleteSvc('Agl51');
BC_DeleteSvc('ImapiServiceAlerter');
QuarantineFile('C:\WINDOWS\system32\adsldpq.exe','');
DeleteFile('C:\WINDOWS\system32\adsldpq.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Agl51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vch73.sys');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ....

[b]V_Bond[/b], карантин загрузила,который последний,т.е. после выполнения сегодняшнего скрипта,насколько я понимаю,от 24.05.А от предыдущих выполнений не нужно прислать,а то у ину еще от 22.05 есть,там почему-то файлов гораздо больше,чем в этом:?.Сейчас логи повторю.

[QUOTE=TUOv;231007]карантин загрузила,который последний,т.е. после выполнения сегодняшнего скрипта,насколько я понимаю,от 24.05.А от предыдущих выполнений не нужно прислать,а то у ину еще от 22.05 есть,там почему-то файлов гораздо больше,чем в этом:?.[/QUOTE]Это правильно. Первый скрипт убил и закарантинил больше файлов, поэтому второй карантин меньше получился.

Вот очередные логи.

Пришлите из карантина AVZ файл C:\WINDOWS\Temp\gold.exe.
Папку C:\WINDOWS\Temp очистите полностью.
Рекомендуется удалить программу Bonjour .
Больше ничего плохого в логах не наблюдается.

Из последнего карантина?Загрузить так же через "прислать запрошенный карантин"?А папку C:\WINDOWS\Temp где искать:O?Через поиск можно?
А что это за программа у меня такая Bonjour:O?Я ее,конечно бы удалила,если бы Вы подсказали,как ее найти.Это возможно:help:?

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Самовольно закачала,не дождавшись Вашего ответа,сорри.А в карантине еще какой-то файл есть с подозрением на троян,его не надо?
А остальные вопросы в силе:001:

Прислали то что надо.
Этот файл суть [b]Trojan-Downloader.Win32.BHO.cy[/b] и подлежит немедленному удалению ;)

Папку C:\WINDOWS\Temp искать в Проводнике.

Программу Bonjour в: Панель управления - Установка/удаление программ.

Извиняюсь за кучу вопросов.
По папке C:\WINDOWS\Temp: ее нужно искать Мой компьютер-локальный диск С-папка WINDOWS-в ней папка Temp-ее и удалить?Или очистить?А как?Или это одно и тоже:oops:?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

А файл Trojan-Downloader.Win32.BHO.cy мне нужно самой удалить?Из карантина в АВЗ?Или он еще где-то сидит?Мож весь карантин очистить?