Win32/Adware.Virtumonde и Win32/PrivacyRemover.M64 терзают компьютер. Помогите, плиз...

Исчезла заставка с рабочего стола и появилось окно "[URL="http://virusinfo.info/showthread.php?t=28218"][COLOR=#0532aa]Warning! Spyware detected on your computer![/COLOR][/URL]" далее внизу: "Win32/Adware.Virtumonde Detected on your computer" и вторая: "Win32/PrivacyRemover.M64 Detected on your computer"

Периодически машина перезагружается самостоятельно, после чего появляется синий экран с английскими надписями. В процессе получения первого лога машина, будучи подключенной к сети, снова выдала синий экран; после этого все тесты выполнялись с выдернутым сетевым кабелем.

Заранее спасибо!

[COLOR="Red"][B]Восстановление системы: включено[/B][/COLOR]


Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\system32\Drivers\Winry52.sys
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winry52');
DeleteService('W32TimeNla');
DeleteService('upnphostaawservice');
DeleteService('TrkWksRasAuto');
DeleteService('TrkWksMessenger');
DeleteService('TapiSrvMessenger');
DeleteService('stisvcAudioSrv');
DeleteService('PmlRpcSsanbmService');
DeleteService('PmlRpcSs');
DeleteService('PlugPlayTapiSrvMessenger');
DeleteService('AudioSrv Driver HPZ12');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winry52.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('c:\windows\system32\lphc1a4j0ee3c.exe');
DeleteFile('C:\WINDOWS\system32\lphc1a4j0ee3c.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Winry52.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Winry52');
BC_DeleteSvc('W32TimeNla');
BC_DeleteSvc('upnphostaawservice');
BC_DeleteSvc('TrkWksRasAuto');
BC_DeleteSvc('TrkWksMessenger');
BC_DeleteSvc('TapiSrvMessenger');
BC_DeleteSvc('stisvcAudioSrv');
BC_DeleteSvc('PmlRpcSsanbmService');
BC_DeleteSvc('PmlRpcSs');
BC_DeleteSvc('PlugPlayTapiSrvMessenger');
BC_DeleteSvc('AudioSrv Driver HPZ12');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Пытался следовать инструкциям - думаю, мне это удалось. Картинка на рабочем столе висит по прежнему:(

Давайте о картинках поговорим позжее :)

[URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\system32\Drivers\Winry52.sys
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Отключите или удалите Ад-Аваре - толку с него, как видите немного.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winry52');
DeleteService('PlugPlayTapiSrvMessengerDhcp');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winry52.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Winry52.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Winry52');
BC_DeleteSvc('PlugPlayTapiSrvMessengerDhcp');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Хочу уточнить по пунктам:

1) Красный шрифт в начале - [B][COLOR=#ff0000]Восстановление системы: включено[/COLOR][/B] - это означает, что оно должно быть включено? Или красным - это моя ошибка, и надо его выключить?
2) Что значит "Скопированные с помощью IceSword файлы сохраните в карантине"? Согласно правилам, в карантин кидает AVZ?

[QUOTE=samum;272073]
Или красным - это моя ошибка, и надо его выключить?[/QUOTE]Читайте вслух пункт 7 правил.
[QUOTE=samum;272073] 2) Что значит "Скопированные с помощью IceSword файлы сохраните в карантине"? Согласно правилам, в карантин кидает AVZ?[/QUOTE]Если Вы не дали себе труда, ознакомится с правилами, то дайте себе труд, дочитать до конца предложение
[B]Скопированные с помощью IceSword файлы сохраните в карантине [COLOR="Red"](Приложение 2 правил).[/COLOR][/B]. Читайте вслух содержание Приложения 2
[QUOTE]
Если Вы отказываетесь выполнять указания хелперов, или делаете всё по-своему, не удивляйтесь тому, что Ваша тема может быть закрыта.[/QUOTE]

Rene, я прошу прощения, я если я Вас чем-то обидел - я просто не хочу совершать типичных ошибок и плодить работу для Вас. Вам, уверен, также не хочется повторять одну итерацию несколько раз.
Проблема с IceSword' ом заключается в том, что в Правилах я не нашел последовательность его использования. Вы пишете - "скопированные с его помощью файлы" - я же прошу уточнить, как именно я дожен скопировать файлы (либо выполнить любую другую операцию) с его помощью, если в Правилах указывается AVZ? Пожалуйста, объясните, или приведите цитату из Правил.

Некоторые пункты, которые не разъяснены в правилах, снабжены [COLOR="Blue"][U]ссылками[/U] [/COLOR]на нужную статью из раздела Чаво.
В частности:
[QUOTE][U][COLOR="Blue"]IceSword [/COLOR][/U], поищите и скопируйте файлы:[/QUOTE] выводит на статью Чаво: [B]Как скопировать файл с помощью IceSword[/B] и т.д.

Все сделал, как было сказано. Непонятно - Sword видит (моими глазами) 3 файла из 4 (не видит WinCtrl32.bak), а при работе AVZ в карантин помещаются только два файла, да и то с ошибками. В скрепке - три запрошенных лога, и еще - лог AVZ при помещении в карантин.
Запрошенный карантин - скопированные из Сворда и вручную архивированные 3 файла. Если нужно, могу прислать карантин AVZ дополнительно, но в нем не будет Winry52.sysю

Забыл лог AVZ

[COLOR="Red"]moderated:::это м.п. тоже в правилах написано.
[QUOTE]Не постите и не прикрепляйте никакие другие файлы, логи, кроме логов HijackThis и AVZ (virusinfo_syscure.zip ,virusinfo_syscheck.zip),
если Вас об этом не просили.[/QUOTE][/COLOR]

[QUOTE=samum;272182]Забыл лог AVZ[/QUOTE]
А что же тогда вложено в предыдущее сообщение?

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('upnphost Driver HPZ12');
DeleteService('lanmanworkstationRDSessMgr');
BC_ImportAll;
ExecuteSysClean;
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
BC_DeleteSvc('upnphost Driver HPZ12');
BC_DeleteSvc('lanmanworkstationRDSessMgr');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи начиная от п.10 правил.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Прикрепите логи к новому сообщению.

:)

В логах чисто.
Поставьте Сервис Пак 3.

Огромное Вам спасибо! Не знаю, что бы я без Вас делал - в нашем городе нет специалистов такого уровня, ну, или они мне неизвестны:)

Крайний вопрос - где лучше взять 3 ServicePack?

Лучше всего - с официального сайта MS. У Rene-gad в подписи есть прямая ссылка.

Еще раз ОГРОМНОЕ СПАСИБО! Ушел ставить SP3

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winctrl32.dl_ - [B]Trojan-Downloader.Win32.Mutant.ayn[/B] (DrWEB: Trojan.Packed.573)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.ayn[/B] (DrWEB: Trojan.Packed.573)[*] \\1 - [B]Trojan-Downloader.Win32.Mutant.ayn[/B] (DrWEB: Trojan.Packed.573)[*] \\2 - [B]Trojan-Downloader.Win32.Mutant.ayn[/B] (DrWEB: Trojan.Packed.573)[*] \\3 - [B]Trojan-Downloader.Win32.Mutant.aim[/B] (DrWEB: Trojan.Rntm.10)[/LIST][/LIST]