И снова Internet Security...

Всем доброго дня!

Снова по сабжу. Но, если в прошлый раз я с ним справился при помощи изменения имён HiJackThis и AVZ на типа "vjdkc", снял логи, прибил всё ненужное в реестре, разблокировалась запись на диск и мне удалось сделать логи АВЗ, то сейчас - не тут-то было! АВЗ с кривым именем запускается, но все надписи, кнопки, подписи и меню имеют вид типа [?639?] и ничего не работает. HiJackThis работает, но глаза протёр, никакого криминала не увидел. Запись Disable RegEdit не удаляется. По поводу АВЗ, может быть такое из-за того, что не запускается alg.exe?
Вообщем, что делать - низнаю. Профи - подскажите. Единственный лог - в атт.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]O20 - AppInit_DLLs: C:\WINDOWS\Cursors\sizewe.ani:ABeqYA[/QUOTE]

Перегрузите компьютер и попробуйте сделать логи по [URL="http://virusinfo.info/pravila.html"]правилам.[/URL]

[B]Aleksandra[/B], Этот ключ я прибил, не помогает...

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Я понял, почему у АВЗ такой странный вид! На комп с флешки НЕ копируется содержимое папки Base!!! Даже если переименовать папку, всё равно не копируется.

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\Cursors\sizewe.ani:ABeqYA:$DATA','');
DeleteFile('C:\WINDOWS\Cursors\sizewe.ani:ABeqYA:$DATA');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите файл quarantine.zip, используя ссылку [URL]http://virusinfo.info/upload_virus.php?tid=69210[/URL]

4. Сделайте логи по [URL="http://virusinfo.info/pravila.html"]правилам.[/URL]

[B]Aleksandra[/B], Скопировал через BootCD папку Base. Теперь, при попытке запустить АВЗ (с любым именем), запускается Internet Security, а АВЗ - нет. Вкладка "восстановление системы" отсутствует.

1. Загрузитесь в безопасном режиме.
2. Запустите HijackThis.
3. Выберите Open the Mics Tool section и далее Delete a file on reboot.
4. Найдите и удалите

[QUOTE]C:\WINDOWS\Cursors\sizewe.ani:ABeqYA[/QUOTE]

5. Перегрузите машину и попробуйте сделать логи.

[B]Aleksandra[/B], запустил бутСД и переименовал в sizewe21.ani. AVZ запустился, сейчас делаю логи. файл вышлю в карантин.

Выключали свет....
Сделал логи, в атт.

Файл сохранён как 100129_143539_Quarantine_4b62c80bb4ae5.zip
Размер файла 123010
MD5 88858cd84e494a6958d3c482fd187800

[size="1"][color="#666686"][B][I]Добавлено через 25 минут[/I][/B][/color][/size]

Перезагрузился в обычном режиме, вот что осталось:
1. Диспетчер задач отключён администратором;
2. Не запускается антивирус изза политики ограничения запуска программ.
3. Отсутствует вкладка "восстановление системы"

по п.1,2,3 выполнил скрипт (возможно, по-дилетантски...):

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\VBRuntime','EventMessageFile');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(11);
ExecuteWizard('TSW',3,3,true);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]

Всё заработало!

Последние логи в атт.
А, ещё прибил в реестре, везде где нашёл, ссылки на sizewe.ani

C:\WINDOWS\Cursors\sizewe21.ani:ABeqYA:$DATA - [B]Trojan.Win32.DieMast.jnd (KIS)[/B]

Выполните скрипт в AVZ:

[CODE]begin
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), 'C:\WINDOWS\Cursors\sizewe.ani:ABeqYA', ''));
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), ',,', ','));
end.[/CODE]
Повторите лог [B]virusinfo_syscheck.[/B]

Александра, я прошу прощенья, но "не долеченный" компутер уже вне моей досягаемости. Какбы там нибыло, благодарю за помощь.

Тема закрыта.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\cursors\sizewe21.ani:abeqya:$data - [B]Trojan.Win32.DieMast.jnd[/B] ( DrWEB: Trojan.Packed.19647, AVAST4: Win32:Bredolab-BR [Trj] )[/LIST][/LIST]