Опять про черный порнобанер

Рабочий стол закрывал черный порнобанер со всеми сопутствующими и упоминавшимися в других сообщениях проблемами. В интернете нашел код 487386665, который позволил убрать банер. Загрузка процессора при этом была 100%. Все съедал svchost. Этап подготовки к сканироованию у CureIt занял около 8 часов. После этого появилось белое окно с сообщением о нарушении лицензионного соглашения для uBest NetSpeed Pro и предложением снова ввести код активации. Запустить AVZ не удается при входе в папку компьютер перезагружается. С трудом удалось получить лог hijacka.

Помогите, пожалуйста, разобраться.

Пофиксите в HijackThis:
[CODE]F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe,D:\Program Files\Internet Explorer\svcnost.exe
O4 - HKLM\..\Run: [act0] D:\Program Files\Internet Explorer\smss.exe
O4 - HKLM\..\Run: [Microsoft Internet Agent] d:\windows\system32\winagent.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: D:\WINDOWS\system32\asx.dll[/CODE]
Перезагрузите компьютер.

После этого дожна запуститься AVZ - сделайте все логи по правилам.

Профиксил указанные строки. AVZ не удается запустить. Пробовал его переименовывать, тоже не получилось запустить.
Посылаю новый лог hijacka.

Как видно, почему-то не убирается
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
И вылазит новая dll
O20 - AppInit_DLLs: D:\WINDOWS\system32\rcnsk.dll

Попробуйте переименовать D:\WINDOWS\system32\rcnsk.dll во что-либо другое. Если картинка уйдет, выполняйте сбор логов и переименованное имя сообщите

Нужно ли перезагружаться после переименования?

Нет.

Файл D:\WINDOWS\system32\rcnsk.dll не отображался, хотя опция отображать скрытые файлы и папки была помечена. Попробовал профиксить O20 - AppInit_DLLs: D:\WINDOWS\system32\rcnsk.dll.
Перезагрузился и вновь запустил hijackthis. dll сменила имя на n.dll.
Ее тоже не нашел на диске. Пришлось искать ее из под чистой системы, сменил ей имя на 777.#ll. После этого окно исчезло и удалось собрать нужные логи.

1) Пофиксите в HijackThis:
[CODE]O20 - AppInit_DLLs: D:\WINDOWS\system32\n.dll[/CODE]
2) Выполните скрипт В AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('D:\Program Files\PestPatrol\Quarantine\20041014210908879.zip','');
QuarantineFile('D:\Program Files\Form Pilot Office Demo\FpoprxyTSD.exe','');
QuarantineFile('0.exe','');
QuarantineFile('D:\WINDOWS\services.exe','');
QuarantineFile('D:\WINDOWS\system32\drivers\mssrvc.sys','');
DeleteFile('D:\WINDOWS\system32\drivers\mssrvc.sys');
DeleteFile('D:\WINDOWS\services.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\WOW\boot','previousProjectorProcessID');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(1);
ExecuteRepair(11);
ExecuteRepair(17);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RebootWindows(true);
end.[/CODE]
3) Компьютер перезагрузится.
Затем выполните второй скрипт в AVZ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл quarantine.zip из папки с AVZ закачайте по ссылке "[COLOR="Red"]прислать запрошенный карантин[/COLOR]" вверху темы
4) Сделайте новые логи + такой лог: [url]http://virusinfo.info/showthread.php?t=40118[/url]

Спасибо за помощь, вот запрошенные данные.

В логах ничего подозрительного не увидел.
Проблема решена?

Давайте соберём для карантина и удалим оставшийся неактивный мусор:
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('D:\Program Files\Internet Explorer\svcnost.exe','');
DeleteFile('D:\Program Files\Internet Explorer\svcnost.exe');
QuarantineFile('D:\Program Files\Internet Explorer\smss.exe','');
DeleteFile('D:\Program Files\Internet Explorer\smss.exe');
QuarantineFile('d:\windows\system32\winagent.exe','');
DeleteFile('d:\windows\system32\winagent.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните второй скрипт в AVZ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл quarantine.zip из папки с AVZ закачайте по ссылке "[COLOR="Red"]прислать запрошенный карантин[/COLOR]" вверху темы/

Рекомендации:
1) Установите SP3 и все последующие обновления (заплатки).
2) Установите Internet Explorer 8.
3) Ознакомьтесь с этой темой: [url]http://virusinfo.info/showthread.php?t=30339[/url]

Да, проблема решена! Еще раз спасибо за помощь!

Карантин пришлите пожалуйста (выполнив скрипты из моего поста #10) - он нам пригодится. Заодно скрипты почистят вам систему от мусора.

Я высылал карантин по ссылке из шапки имя quarantine.zip пароль virus. Нужно повторить?

После выполнения скриптов будет новый. Его пришлите.

[QUOTE]Я высылал карантин по ссылке из шапки имя quarantine.zip пароль virus. Нужно повторить?[/QUOTE]
Да повторите пожалуйста, если вас не затруднит - выполнив скрипты (указания) из моего поста #10. Просто теми скриптами карантинятся другие файлы (мусор), которые я убрал из автозагрузки в посте #2 - теперь они неактивны и не представляют вреда, но их всё же нужно закарантинить и удалить, чтобы они не лежали мусором в системе.

Да, простите перепутал пост 10 и 8. Сейчас все сделаю.

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

Карантин закачан.

Файл сохранён как 091203_225424_quarantine_4b181770ac858.zip
Размер файла 12225
MD5 d9dd6a18f379874f57e88585d0937459

Еще раз спасибо за помощь!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\program files\internet explorer\smss.exe - [B]Trojan.Win32.Diamin.aor[/B] ( DrWEB: Trojan.Siggen.30515 )[*] d:\windows\services.exe - [B]Trojan.Win32.Spamer.n[/B] ( BitDefender: Backdoor.Bot.81147, AVAST4: Win32:Wali [Cryp] )[*] d:\windows\system32\drivers\mssrvc.sys - [B]Trojan.Win32.Agent.ddeu[/B] ( BitDefender: Trojan.Generic.2854654, AVAST4: Win32:Crypt-AUN [Trj] )[/LIST][/LIST]