semo2x.exe и прочие зверушки

Вообщем недавно сидел в инете и выскочило сообщение со щитами фаервола. Там было написано что-то вроде: windows file is corrupted и предлогалось загрузить якобы антивирус. Кнопки да и нет не нажимал. Только в оффлайне для проверки нажал на "Да", чтобы удостовериться тот же ли у меня вирь, как и потом нашел описание. Вообщем пересылало при нажатии на ie-antivirus.com и точно не помню, вроде free-antivirus.com
После этого я снес винду, но само собой не помогло, так как отформатировать надо весь винт, а я рассчитывал только на диск С. Но до форматирования, я с нескольких раз только мог открыть папки и каждая попытка открытия сопровождалась дикими тормозами и выдачей ошибки и сообщений с предложениями загрузить эти "антивирусы" .Скрытые файлы не открываются. Ставишь галочку на показывать, после "ок" она убирается. NOD 32 c обновлениями за 17.07.2008 обнаружил semo2x.exe но удалить не смог. Самое интересное, что после того, как он либо удалял этот трой Win32/PSW.OnLineGames.NLI и вирус Win32/Pacex.Gen они с 21 по 23 вновь создавались и NOD 32 их снова блокировал. С 24 и по настоящее время больше не появлялись, хотя компом пользовался так же. С 21 по 23 вирусы перезаписывались не сразу после запуска винды, а в течение работы. Помогите пожалуйста.

Вот логи NOD 32 еще. Не получилось прикрепить файлик в архиве :O.
[COLOR="Red"]moderated:::Не постите и не прикрепляйте никакие другие файлы, логи, кроме логов HijackThis и AVZ (virusinfo_syscure.zip ,virusinfo_syscheck.zip), если Вас об этом не просили.[/COLOR]

Отключите антивирус!

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{2670000A-7350-4f3c-8081-5663EE0C6C49}');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=27091[/url]

Повторите логи начиная с п.10 правил...

Прислал карантин, закрепляю логи.

В логах чисто. Сервис Пак 3 поставьте.

[quote=Rene-gad;259828]В логах чисто. Сервис Пак 3 поставьте.[/quote]
Все больше ничего не надо делать :O? Я как раз собираюсь переустанавливать виндовс, и имено с SP3. Большое спасибо Вам и Грише, так меня этот вирь грузил, а времени с ним разобраться все не было.

[QUOTE=Black Jack;259839]Я как раз собираюсь переустанавливать виндовс[/QUOTE]
Нескромный вопрос: А на зачем Вы тогда вирус удаляли? 8) :O

Забыл спросить. У меня теперь нет вообще вирусов. А то по скрипту видно, что удаляет он только один DeleteFile('C:\WINDOWS\system32\amvo.exe')
А то как бы после переустановки винды мои зверушки опять бы не вырвались на свободу. НОД то снесется и карантина не будет.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[quote=Rene-gad;259840]Нескромный вопрос: А на зачем Вы тогда вирус удаляли? 8) :O[/quote]
Так после того как у меня этот вирь появился, что тормоза жуткие и в папку не зайдешь, я винду сразу снес, т.к. антивирус не помог. только я ее поставил, сразу полез в скрытые папки и файлы. До этого не мог туда зайти. Они тогда появились на 2 секунды и тут же пропали. Т.е. форматировать весь винт нет возможности, инфу жалко, а переписывать на чужой комп, сами понимаете, вири же проживали. Тут же поставил NOD semo2x.exe пошел работать, т.е. он прописался, как видно из лога NOD на всех дисках.

Ставьте новую систему и Сервис Пак 3 в оффлайне. Перед подключением в Онлайн установите Антивирус (НОД или какой другой) и актвируйте Виндовс-Файрвол. Посетите сервер обновлений Микрососфта [url]www.windowsupdate.com[/url] и установите все важные апдейты и патчи.
Потом скачайте Файрфох и/или Опера для гуляния по интернету, включите здравый смысл ;) - и с песнями вперед.

Еще вот интересно, почему вирус перезаписывался 3 дня подряд, а потом перестал. Я думал он так до бесконечности будет. НОД его после перезаписи тут же находил и в карантин, а он по прошествии некоторого времени создавался вновь с другим именем.

[size="1"][color="#666686"][B][I]Добавлено через 24 минуты[/I][/B][/color][/size]

Хм :O, а фиксить с помощбю ХайДжека ничего не надо?

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 1 минуту[/I][/B][/color][/size]

Возник еще один вопрос. Отключился ли мой антивирь, когда я делал логи? У меня NOD 32. Я нажимал "Отключить защиту от вирусов и шпионских программ" в строке пуска. Щас проверить только догадался: при отключении NOD его иконка с зеленой меняется на красную, но из процессов он не исчезает и вручную тоже не удалось его завершить. Процесс называется ekrn.exe При попытке завершения процесса, он просто меняет свое положение в списке, но не завершается. Не оказало ли это влияния на логи :(?

[QUOTE=Black Jack;259845]При попытке завершения процесса, он просто меняет свое положение в списке, но не завершается. [/QUOTE]Это самозащита Антивируса.
Чтобы его действительно отключить нужно действовать через службы, т.е. отключить или остановить службы связанную с приложением.

[quote=Rene-gad;259928]Это самозащита Антивируса.
Чтобы его действительно отключить нужно действовать через службы, т.е. отключить или остановить службы связанную с приложением.[/quote]
Так чтобы сделанные логи были правильные, достаточно ли было отключить как это сделал я. Или у меня из-за неполного отключения могли получится неверные логи?

[QUOTE=Black Jack;259929]Так чтобы сделанные логи были правильные, достаточно ли было отключить как это сделал я. Или у меня из-за неполного отключения могли получится неверные логи?[/QUOTE]
Если у Вас есть конкретное подозрение на вирусы, можете сделать логи в [B]строгом соответствии[/B] с правилами и остановкой [B]всех процессов и служб, не связанных с системой[/B], но: Честно говоря я не понял за что Вы воюете? Вы собираетесь переустанавливать систему. Потела старая система перед смертью или нет, была она с вирусами или нет - все равно... :)

[quote=Rene-gad;259932]Если у Вас есть конкретное подозрение на вирусы, можете сделать логи в [B]строгом соответствии[/B] с правилами и остановкой [B]всех процессов и служб, не связанных с системой[/B], но: Честно говоря я не понял за что Вы воюете? Вы собираетесь переустанавливать систему. Потела старая система перед смертью или нет, была она с вирусами или нет - все равно... :)[/quote]
Подозрений нет, НОДом проверил - не матерится. Просто волнуюсь, не затаился ли вирь на время. 3 дня перезаписывался, апотом перестал. В первый то раз снос не помог, он снова заразил все. Думаю все-таки лучше сделать логи с полной остановкой. Только как это сделать? Как НОД вырубить полностью и другие посторонние процессы, если они не будут сниматься через диспетчер задач.

[QUOTE=Black Jack;259937]Думаю все-таки лучше сделать логи с полной остановкой. Только как это сделать?[/QUOTE]Вы это читали: [QUOTE]Чтобы его действительно отключить нужно действовать через службы, т.е. отключить или остановить службы связанную с приложением.[/QUOTE] :>
Чтобы все-чисто-быстро: Пуск/Выполнить... набрать в окошке [B]msconfig[/B]. Карточка Автозапуск... Все отключить. Карточка Службы, активировать крючок [I]Виндовс службы не показывать[/I], Все остальные - отключить. Перегружаемся и делам 3 лога как в первом сообщении.

Вот остановил службы и переделал логи. Возникли небольшие проблемы. После того как я убрал галочки со всех пунктов в автозагрузке через msconfig, там было четыре пункта и все естественно без галочек. После этого компьютер перезагрузил и появилось окно этого msconfiga с предложением не предупреждать о таких изменениях после перезагрузки. Я зашел посмотреть опять в автозагрузку и обнаружил там пятый пункт, которого ранее не было. Это было приложение ctfmon.exe Его расположение C:\WINDOWS\system32\ctfmon.exe Оно относится вроде к NOD. Таких приложений было в автозагрузке два. Один без галочки, а другой с ней, которую я не ставил. Запущены из разных мест. Пути какие-то странные, не такие как у ctfmon.exe Запущен этот пункт был из какого-то HKCU. Галочек напротив остальных четырех пунктов не было. Еще очень долго винда загружалась, когда были остановлены службы через msconfig. Около 15 секунд появлялось окно со вводом пароля после надписи "Запуск Windows" А обычно около 2 секунд это занимало :O. Прикрепляю логи.

Описанное Вами поведение вполне нормально.
В логах чисто.:)

[B]Rene-gad[/B]
Большое Вам спасибо за то, что Вы уделили мне столько внимания. Теперь можно спать спокойно :>.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 44 минуты[/I][/B][/color][/size]

Мда, появилась очередная проблема. После всех проделанных операций я почистил temp папки и кукисы. Теперь при заходе на страницы их не модем грузит, а они из памяти достаются как бы. Нажимаешь обновить, а она уже совсем другая, с новыми постами :O. Как это безобразие поправить?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]