"Warning!Spyware detected on your computer!"

Здравствуйте!
Исчезла фоновая картинка рабочего стола, и вместо нее на синем фоне сообщение - "Warning!Spyware detected on your computer!..."
Кроме того, постоянно выскакивает окно с предупреждением, что невозможно запустить файл "vmmreg.bkp"
Помогите.

[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]найти и удалить следующие файлы - force delete
[code]
C:\WINDOWS\System32\Drivers\Winrh55.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\winhelp32.exe
C:\WINDOWS\SYSTEM32\VIDEO.sys
[/code]
выполните скрипт .....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\tata\Local Settings\Temp\loader.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
DeleteService('Winmr72');
DeleteService('VIDEO');
DeleteService('Winib33');
DeleteService('Winrh55');
DeleteService('upnphostupnphost');
DeleteService('uploadmgrWZCSVC');
DeleteService('SPIDERNTIDriverT');
DeleteService('RpcLocatorSPIDERNT');
DeleteService('dmadminIDriverT');
DeleteService('AlerterBrowser');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winrh55.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winrh55.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winib33.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winmr72.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\System32\blphc1noj0ec89.scr');
DeleteFile('C:\WINDOWS\system32\winhelp32.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\Documents and Settings\tata\Local Settings\Temp\loader.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил....
повторите логи ...

Не очень понял первую часть .. скачал две программы по ссылке: IceSword122en, и Spyware Doctor... Простите безграмотность, но для работы с Доктором нужно купить лицензию, а первая программа вообще непонятно как работает. Потому не понял.. как удалить указанные файлы?

Doctor.... ни то что за деньги и даром не нужен .... нужен IceSword [url]http://virusinfo.info/showthread.php?t=17228[/url]

Фоновый рисунок восстановился, спасибо, но при загрузке и в период пользования продолжает выскакивать предупреждение о том, что "vmmreg.bkp" не является программой и не может быть запущена.
[COLOR="Red"]moderated:::карантин загужать по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).[/COLOR]

Простите, отправил выполненный скрипт и получил разъяснение. Могу я воспользоваться этой программой сейчас?
После того как выполнил скрипт?

[QUOTE=Валерий;269749]Простите, отправил выполненный скрипт и получил разъяснение. [/QUOTE]Куда Вы отправили скрипт и от кого какие разъяснения получили? Карантин вместо того, чтобы закачать по правилам Вы влепили в топик, логов Ваших после скрипта не видно.
Будем закрывать тему или постараетесь выполнить рекомендации хелпера?

Выполнил рекомендации.
Осталась проблема с всплывающим предупреждением, о файле vmmreg32.bkp

Система у Вас дырявая. Информация о Сервис Паках и обновлениях мимо Вас прошла.

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\System32\Drivers\Winhb27.sys
C:\WINDOWS\System32\drivers\ethgmvzb.sys
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('ethgmvzb');
DeleteService('Winhb27');
DeleteService('upnphostupnphost');
DeleteService('uploadmgrWZCSVC');
DeleteService('TapiSrv Agent Service (default)');
DeleteService('SPIDERNTIDriverT');
DeleteService('RpcLocatorSPIDERNT');
DeleteService('NtmsSvcstisvc');
DeleteService('HidServSpooler');
DeleteService('dmadminIDriverT');
DeleteService('AlerterBrowser');
QuarantineFile('C:\WINDOWS\System32\drivers\ethgmvzb.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winhb27.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Winhb27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\ethgmvzb.sys');
BC_ImportAll;
ExecuteSysClean;
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', 'REG_EXPAND_SZ', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', 'REG_EXPAND_SZ', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
ExecuteRepair(5);
BC_DeleteSvc('ethgmvzb');
BC_DeleteSvc('Winhb27');
BC_DeleteSvc('upnphostupnphost');
BC_DeleteSvc('uploadmgrWZCSVC');
BC_DeleteSvc('TapiSrv Agent Service (default)');
BC_DeleteSvc('SPIDERNTIDriverT');
BC_DeleteSvc('RpcLocatorSPIDERNT');
BC_DeleteSvc('NtmsSvcstisvc');
BC_DeleteSvc('HidServSpooler');
BC_DeleteSvc('dmadminIDriverT');
BC_DeleteSvc('AlerterBrowser');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Высылаю логи, после выполнения всех рекомендаций

логи

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
executerepair(1);
executerepair(7);
executerepair(9);
executerepair(11);
executerepair(17);
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', 'REG_EXPAND_SZ', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', 'REG_EXPAND_SZ', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
RebootWindows(true);
end.
[/CODE]
- После перезагрузки сделайте повторный лог Hijackthis.
- Прикрепите лог к новому сообщению.

Новый лог.
Сообщение продолжает появляться.. может просто удалить этот vmmreg.bkp?
Спасибо.

проблема в том, что этих файлов в логах АВЗ не видно.
А Вы их видите?
-[URL="http://virusinfo.info/showthread.php?t=4491"]Попробуйте пофиксить[/URL]
[CODE]O2 - BHO: myiebho - {7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD} - %SystemRoot%\system32\vmmreg32.dll (file missing)
O4 - HKUS\S-1-5-19\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O4 - S-1-5-19 Startup: vmmreg32.bkp (User 'LOCAL SERVICE')
O4 - S-1-5-19 User Startup: vmmreg32.bkp (User 'LOCAL SERVICE')
O4 - S-1-5-20 Startup: vmmreg32.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-20 User Startup: vmmreg32.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-18 User Startup: vmmreg32.bkp (User 'SYSTEM')
O4 - .DEFAULT User Startup: vmmreg32.bkp (User 'Default user')
O20 - AppInit_DLLs: vmmreg32.dll
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/CODE]

Скачайте эту тулзу: [url]http://www.glarysoft.com/rr.html?tag=download[/url] - русский язык нужно выбрать при установке - и прогоните ремонт реестра. Потом повторите лог Хайджека.

Сделал, как Вы рекомендовали.
Вот лог после того, как профиксил, и провел исправление реестра.

На всякий случай, воспроизвожу полностью текст всплывающего окна. Оно появляется при включении, и периодически возникает при работе с интернетом.

"Неверный образ.
Приложение или бпблиотека C:\WINDOWS\sistem32\vmmreg32.dll не является образом программы для Windows NT
Проверьте назначение установочного диска"

Откройте редактор реестра (Пуск/Выполнить.. набарать regedit, надавить ВВОД).
Экспортируйте ветки из папки HKEY_USERS:
[CODE]S-1-5-19
S-1-5-20
S-1-5-18[/CODE]
в отдельные файлы.
Запакуйте их в архив и прикрепите к сообщению.

Сделал.

[QUOTE=Валерий;270284]Сделал.[/QUOTE]Спасибо. Сделаем так - я напишу коллеге. Он знает эту тему лучше меня. Загляните ближе к вечеру. У Вас только проблема в реестре, но не могу понять - в какой ветке. Файлов на диске нет.

Очень благодарен за внимание к проблеме. Обуду ждать ответа.
Огромное спасибо!
Дело в том, что данный компьютер принадлежит моему коллеге. Он его весьма запустил, потому и такие проблемы.

Поищите с помощью АВЗ [I]Сервис/Поиск реестра..[/I] в реестре ключи по маске: [B]vmmreg32.bkp[/B] Если найдете - фтопку их.
EDIT: Совет от коллеги
[QUOTE=kps]Пофиксить можно попробовать так:
Запустить AVZ и включить AVZGuard. Потом в меню AVZGuard - запустить приложение как доверенное - запустить Hijackthis таким образом и пофиксить, что нужно.
После этого перезагрузить компьютер.
Просто AVZGuard не разрешает недоверенным приложениям редактировать реестр и соответсвенно восстанавливать записи.[/QUOTE]

Все сделал, но сообщение выскакиевает. Может просто удалить этот файл vmmreg.dll?