Spyware detected! Помогите избавиться.

Такая проблемка: на рабочем столе помещается bmp файл с имитацией окна и текстом "Warning! Spyware detected on your computer!.." и исчезли закладки изменения обоев и скринсейвера. Че - то нахимичил, появилась вкладка Рабочий стол в Свойствах экрана, но вкладка Заставка отсутствует.

Лечение необходимо производить [b]с правами администратора[/b].

[b]Отключите восстановление системы![/b]

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\Winfm06.sys','');
QuarantineFile('C:\WINDOWS\system32\pphcjulj0e11c.exe','');
QuarantineFile('C:\WINDOWS\system32\lphcjulj0e11c.exe','');
DeleteFile('C:\WINDOWS\system32\blphcjulj0e11c.scr');
DeleteFile('C:\WINDOWS\system32\lphcjulj0e11c.exe');
DeleteFile('C:\WINDOWS\system32\pphcjulj0e11c.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\Winfm06.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=29036[/url]).

Сделайте новые логи.

Карантин выслал
вот новые логи

все равно в процессах висит такое:
lphcjulj0e11c.exe
MOM.exe
pphcjulj0e11c.exe
blphcjulj0e11c.scr

[B]Нарушения [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] при сборе информации для раздела Помогите.

[COLOR="Red"]
- Не выключено системное восстановление.
- Не закрыты все программы
- Не запущен Интернет Эксплорер.
- Не выключен установленный антивирус.[/COLOR]

Логи выполненные с нарушением правил рассматриваться не будут.
Спасибо за понимание.[/B]

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\system32\Drivers\Winfm06.sys
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\Winfm06.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\pphcjulj0e11c.exe','');
QuarantineFile('C:\WINDOWS\system32\lphcjulj0e11c.exe','');
QuarantineFile('c:\program files\rhcnulj0e11c\rhcnulj0e11c.exe','');
DeleteFile('c:\program files\rhcnulj0e11c\rhcnulj0e11c.exe');
DeleteFile('C:\WINDOWS\system32\lphcjulj0e11c.exe');
DeleteFile('C:\WINDOWS\system32\pphcjulj0e11c.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Winfm06.sys');
DeleteFile('C:\WINDOWS\system32\blphcjulj0e11c.scr');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=vinnichenko;275237]все равно в процессах висит такое:
MOM.exe
[/QUOTE]
___________________________________________________________
[QUOTE]c:\program files\ati technologies\ati.ace\core-static\mom.exe
Catalyst Control Center: Monitoring program[/QUOTE]

Карантин закачал.
Сделал повторные логи.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/CODE]Больше проблем не вижу. Что замечаете?

1. Осталась папка C:\Program Files\rhcnulj0e11c и ярлык "Antivirus XP 2008" на рабочем столе, который ведет в эту же папку...
Это можно удалить?
2. В свойствах экрана есть только "Темы", "оформление" и "Параметры"
3. В "Установка и удаление программ" остался "AntivirXP08"

[QUOTE=vinnichenko;275337]1. Осталась папка C:\Program Files\rhcnulj0e11c и ярлык "Antivirus XP 2008" на рабочем столе, который ведет в эту же папку...Это можно удалить?[/QUOTE]Да.
[QUOTE=vinnichenko;275337]2. В свойствах экрана есть только "Темы", "оформление" и "Параметры"[/QUOTE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.
[/CODE]
После перезагрузки проинформируйте о состоянии ПК.
[QUOTE=vinnichenko;275337]3. В "Установка и удаление программ" остался "AntivirXP08"[/QUOTE]Попробуйте почистить реестр любой доступной тулзой, напр. CCleaner.

Больше никаких следов вируса не наблюдается.
Огромное Вам спасибо!
Тему можно закрывать...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\lphcjulj0e11c.exe - [B]Backdoor.Win32.Frauder.bu[/B] (DrWEB: Trojan.Packed.619)[*] c:\\windows\\system32\\pphcjulj0e11c.exe - [B]not-a-virus:FraudTool.Win32.XPAntivirus.qj[/B] (DrWEB: Trojan.Fakealert.1264)[*] \\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.aza[/B] (DrWEB: Trojan.Packed.573)[/LIST][/LIST]