Я чужой для своего компьютера

Здравствуйте!

Сижу в деревне на ноутбуке через SkyLink. Потратил уйму денег на скачку всяких неработующих антивирусов. Точнее работающих, но только не для моего компа из-за этого проклятого вируса. Вообщем, далее всё объясню, разложу по полочкам, надеюсь, вы мне поможете. Если поможете - в таком случае спасёте от поездки в Москву за платным лечением ноутбука. Ох... как всё плохо-то.

Ноутбук: Sony VGN-SZ4VRN
Windows XP Home Edition SP2 (до этого, естественно, снёс Vist'у, но с этим проблем вовсе не было)

Вчера, закачав уже сам не помню что, лазия не помня где (в интернете), вдруг у меня высвечивается вправом нижнем углу, правее от времени, надпись "VIRUS ALERT!" и отказывается исчезать. До сих пор там в углу и висит. Потом на рабочем столе появились три ярлычка "Error Cleaner", "Privacy Protector" и "Privacy Protector". Щёлкая на них, они все ведут на сайт, предлагающий скачать какой-то палёный антивирус:

Ярлык "Privacy Protector" ведёт на: [url]http://viruswebprotect2008.com/shandler.php?sid=0&aid=0&pn=&said=0&sg=0[/url]
Ярлык "Spyware&Malware Protection" ведёт на: [url]http://viruswebprotect2008.com/shandler.php?sid=0&aid=0&pn=&said=0&sg=2[/url]
Ярлык "Error Cleaner" ведёт на: [url]http://viruswebprotect2008.com/shandler.php?sid=0&aid=0&pn=&said=0&sg=1[/url]

Но ярлыки - это ещё цветочки. Вирус начал постоянно высвечивать различные (3 вида) окошка с предложением воспользоваться их антивирусом "Antivirus 2008 XP". Програмка дёшево подделана под стандартный голубой стиль XP, предлагает пройти просмотр, обнаружить вирусы, а потом предложить себя купить. И эти окошки с предложением постоянно начинают раздражать, появляться поверх всего остального. Один раз вообще окошки с готовым адресом в IE стали появляться один за другим, создавая мусор на рабочем столе. Но в итоге потом прекратило. Но окошки исчезать не думали - постоянно появлялись. Вот текст одной из окошек, переписал:

Windows has detected an Internet attack attempt...
Somebody's tryinf to infect your PC with spyware of harmful
viruses. Run full system scan now to protect your PC from
Internet attacks, hijacking attempts and spyware! Click here
to download spyware removier for total protection.

"OK" или "Отмена"

Програмку я закачал, думал что вылечит и что версия специально подогнана под этот вирус, а хрен - платная штука, вирусы не удаляет. А куда закачалась мне эта програма - я еле разобрался, с помощью "AnVir Task Manager", которым пришлось пользоваться только потому, что якобы появившийся ещё один администратор, главнее меня который, заблокировал это действие. Так же в "Свойства" оказалось зайти не возможно, так же и в "панель управления". На рабочем столе красовалась красная картинка, которую я еле снёс, но три ярлычка, надпись в правом нижнем углу возле часов "VIRUS ALERT!" и всплывающиеся окошки исчезать не собирались.

А потом началось худшее. Компьютер начал заходить в винду с большими стараниями. Иногда зависал сразу, как только появлялась надпись "Приветствие", иногда чуть погодя. Элементарные програмки вроде Winamp'а грузиться отказывались - сразу всё мгновенно зависало - ничего с этим поделать я не мог, диспечер задач появившийся администратор, закрыл.

Потом решил я пройтись реальными антивирусами. Ну, не палёными по крайней мере вроде этого "Antivirus 2008 XP". Сначала закачал Dr.Web 4.44 - начало вылетать (программа - виндус не виснул) как только я нажимал на "сканирование". Вообщем - безнадёга. Потом поменял "совместимость" ярлыка Dr.Web'a на "Windows NT 4.0 (Service Pack 5)", и только после этого Dr.Web заработал. Потребовался ключ. Ключ нашёл, но распаковать не смог, потому что до реестра администратор тоже запретил дотрагиваться. Тогда я скачал специальную бесплатную версию "Dr.Web Cure it" - прошёл полную проверку, нашёл всего 2 вируса - удалил, перезагрузил - всё осталось на своих местах. Потом установил Nod - с ключом опять же проблема вышла - реестр не пускал. Тоже самое и с Касперским 7. На закачку этих антивирусов очень много денег снял со SkyLink - жалко даже, что совершенно зря.

Теперь что делать - не знаю. Сижу через "Безопасный режим", пишу в этом текстовом документе, чтобы потом вам отправить. Пишу со всеми подробностями, которые могу вспомнить, чтобы можно было легче разобраться с этой проблемой. Стирать всё с жёского диска очень не желательно. Там очень много ГБ важной информации, которую терять я бы ни за какие деньги не согласился бы. Мне очень важно починить в скором времени ноутбук. А чем дальше - тем труднее зайти в винду - постоянно зависает, жутко тормозит, не слушается.

Потом надумал кое-что, создал нового пользователя; назвал его "Сергей", назначил его администратором, стёр все остальные профили и думал решу этим проблему, а нет. В безопасном режиме заметил, что вместе с профилем "Сергей", сам ещё создался отдельный "Администратор", который вновь перехватил всю инициативу на себя. Тогда я понял, что все мои действия бесполезны, и я не в силах что-либо придумать. Я не програмист, я всего лишь глупый дизайнер, кому лишь важно уметь рисовать и уметь юзать фотошоп. В остальном я не секу, в антивирусах тоже.

Такая вот безвыходная ситуация у меня. Сегодня пошёл на станцию, кинул в кассу ещё 600 рублей на SkyLink - скачаю всё, что скажете, что посоветуете - сделаю, всё сделаю. Очень важно починить компьютер без потери информации. Что делать - не знаю. Помогите, пожалуйста. Вы моя последняя надежда.

[url]http://virusinfo.info/showthread.php?t=1235[/url]

Почитал про VIRUS ALERT, потырил оттуда некоторые скрипты (что кажется не стоило было делать), в итоге глюк с торможением и надписью пропал (кроме как в свойствах компьютера). Что дальше делать не знаю.

p.s. извините, за действия не по правилам.

Вот ещё virusinfo.

Так не пойдет: Вы должны выполнить 3 лога в определенной последовательности, причем лог Хайджека д.б. последним, а не первым.
Пожалуйста все с начала по правилам.

Вот логи. Ещё раз извиняюсь - поторопился.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\tdssserv.sys','');
QuarantineFile('G:\autorun.inf','');
DelBHO('{E482A951-26ED-4898-A1EB-09A942D95A52}');
DelBHO('{DF6C9A95-CDD0-4EFC-9C2A-B6CA365F7396}');
DelBHO('{40c509e0-e2ad-b254-39ce-7d5437219e7a}');
DelBHO('{24FF257E-1D26-4BA5-B5ED-D1E3A7881476}');
DelBHO('{18CB1A7B-94CD-4582-8022-ADA16851E44B}');
QuarantineFile('byXomJCT.dll','');
QuarantineFile('C:\WINDOWS\system32\zdewacvwusp.dll','');
QuarantineFile('C:\WINDOWS\wnlmdakqlag.dll','');
QuarantineFile('C:\WINDOWS\system32\khfGaxuT.dll','');
QuarantineFile('C:\WINDOWS\system32\byXomJCT.dll','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\services\services.dll','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\services\services.dll');
DeleteFile('C:\WINDOWS\system32\byXomJCT.dll');
DeleteFile('C:\WINDOWS\system32\khfGaxuT.dll');
DeleteFile('C:\WINDOWS\wnlmdakqlag.dll');
DeleteFile('C:\WINDOWS\system32\zdewacvwusp.dll');
DeleteFile('byXomJCT.dll');
DeleteFile('C:\WINDOWS\system32\drivers\tdssserv.sys');
DeleteFile('G:\autorun.inf');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...

Не знал, когда следовало высылать карантин, после выполнение этого скрипта или нет - сделал два. Второй прислал по времени чуть позднее. Выложил логи.


После скрипта и перезагрузки компьютера, при загрузки винды, выскакивает окошко:

"Ошибка при загрузке C:\WINDOWS\system32\zdewacvwusp.dll
Не найден указанный модуль".

А надпись "VIRUS ALERT!" в свойствах компьютера пока не пропала.

Надеюсь, всё сделал правильно, и залил всё куда надо.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\zdewacvwusp.dll');
DelBHO('{E482A951-26ED-4898-A1EB-09A942D95A52}');
DelBHO('{41EB4A79-03FC-47FA-9B22-2F6F31B3FC98}');
DeleteFile('C:\WINDOWS\system32\khfGaxuT.dll');
DeleteFile('C:\WINDOWS\system32\byXomJCT.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
сделайте скриншот окна где VIRUS ALERT! ....

Скрипт сделал. Скрин [url=http://img390.imageshack.us/img390/3601/88197568cs7.jpg]здесь[/url]. Если где-нибудь ещё эта надпись осталась, то её я не замечал. А до этого в критическом состоянии она много где висела. На каждом файле вроде.

p.s. комп всё ещё подтормаживает, а при перезагрузке, не успев выйти из винды, зависает (зависает через раз). Точнее курсор двигается, но ничего не происходит - приходится хард ресет делать.

пуск выполнить regedit
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
находите там эту запись и меняете на то что там было ...
и давайте новые логи ...

Оп, "VIRUS ALERT!" больше мы не увидим. Вот логи:

пофиксите ...
[code]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
O4 - HKLM\..\Run: [{b3c549dc-f014-e6f5-47d1-5eb048dce486}] C:\WINDOWS\System32\Rundll32.exe "C:\WINDOWS\system32\zdewacvwusp.dll" DllStart
O20 - Winlogon Notify: byXomJCT - C:\WINDOWS\
[/code]
hijackthis.log повторите ...

Готово. Не знаю, правильно ли я фиксил; первый раз это делал. Вводил одну строчку куда было сказано в "правилах", нажимал "ок". И так одну строчку за другой. Писалось, что что-то там не было найдено в регистрации. Не помню. Вроде сделал правильно, перезагрузился и сделал лог.

так [url]http://virusinfo.info/showthread.php?t=4491[/url] делали ?

Да, всё делал по этой ссылке. Но чтобы недорозумений не было, объясню подробно:

1) Копирую первую строку из вашего кода: [B]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = httр://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2[/B]

2) Открываю HijackThis, нажимаю [B]Open The Misc Tools section[/B] > [B]Delete an NT Service[/B]

3) В открывшимся окошке вставляю [B]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = httр://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2[/B].

4) Нажимаю "ок" и высвечивается [url=http://img185.imageshack.us/img185/5854/3131gf0.jpg]такое сообщение[/url]. Что означает по смыслу ясно, но только не знаю, правильно ли это или нет.

5) Тоже самое проделываю с оставшимися строками из кода. Не знаю, нужно ли их всех сразу вставлять, но я "фиксил" каждую строку по очереди. После каждой строки высвечивались такие же сообщения по смыслу, что и к первой строке.

Что-то мне подсказывает, что я тут что-то не правильно сделал... (?)

копировать ничего не нужно ...
вот ..
[code]
Запустить файл hijackthis.exe**) В главном окне программы нужно нажать кнопочку "Do a system scan only"
3. В открывшемся логе сканирования поставить галочки напротив указанных строк и нажать кнопку "Fix Checked". Затем следует перегрузить компьютер.
[/code]

Горе мне! Что ж я так туплю?

Прошу прощение; всё сделал на этот раз по-человечески. Окно о нехватке "C:\WINDOWS\system32\zdewacvwusp.dll" пропало.

А вот логи:

ничего плохого ...

Ох, не представляете как я вам всем благодарен! Тысяче раз спасибо! Вы меня просто спасли!

В следующий раз (хотя не хотелось бы, чтоб он был), если вдруг что-то опять будет не так - приду к вам за помощью!

Ещё раз спасибо!