Был Win32.HLLM.Perf, теперь последствия....

Доброе утро знатоки. У меня случилось следующее:
Чисто случайно обнаружил на компе в одной из папок файл(что-то с Бритней Спирс :), проверил, оказался Win32.HLLM.Perf. Стал лечить. Вроде вылечил, хотя....
Перезагрузился, а рабочего стола нет, только одна папка "Мои документы". Стал смотреть как восстановить. Прочитал [URL]http://z-oleg.com/secur/advice/adv1103.php[/URL] - не помогло. Простое восстановление системы также не помогло.
Вчера скачал AVZ стал делать как написано в правилах:
1) Запустил [B]Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info[/B], но на 94% процесс повис, сканируя папку [B]System Volum Information.[/B]
2) Все остальное получилось сделать.
Посмотрите пожалуйста. Система-то работает(только через .....). Спасибо.

Сейчас посмотрю. А восстановление системы отключили ?

Надо попробовать второй скрипт AVZ выполнить в безопасном режиме. Без него неполная информация получается.

Перед лечением - нет. Зашел в безопасный режим и пошел кроить.
И когда сканировал AVZ - тоже нет.

Вечером, после работы, попробую.
Что получилось - напишу.
Спасибо.

1.AVZ файл - выполнить скрипт
[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe,','');
QuarantineFile('C:\WINDOWS\system32\restore\rstrui.exe','');
QuarantineFile('C:\WINDOWS\System32\logon.scr','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
RebootWindows(true);
end.[/CODE]
После перезагрузки.
Прислать карантин согласно приложени 2 правил, с пятого пункта.
Если не получится, то повторить в Safe Mode ( F8 ) без строчки SetAVZGuardStatus(True)

То, есть мне сперва выполнить скрипт и прислать карантин, а потом выполнить пункты правил 8, 10 и 11(с отключенным восстановлением системы)?

[QUOTE=ИТАР-ТАСС;93433]То, есть мне сперва выполнить скрипт и прислать карантин, а потом выполнить пункты правил 8, 10 и 11(с отключенным восстановлением системы)?[/QUOTE]

Для начала отключите восстановление системы, и пришлите запрошенное.

Логи нужно делать с отключенным восстановлением, иначе после перезагрузки умный ХР все восстановит назад.

Можно выполнить скрипт из п.8. Перезагрузиться и прислать лог-файл.
Я отметил в скрипте только то, что показалось подозрительным.
И то, только для сбора информации, в нем пока еще ничего не удаляется.

Все сделаю, как сказали. Спасибо.

Советую проверить диск на ошибки (свойства диска - вкладка Сервис).

Вот, отключил восстановление системы. Сделал пункты 8,10,13.
Но у меня почему-то два файла из пункта 10 в папке LOG. На всякий случай выкладываю все два.

virusinfo_cure - это карантин, причём, судя по размеру, пустой.

Хорошо, теперь зверя видать.
AVZ - Файл - Выполнить скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\vbev5mp.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\MxlW2k.SYS','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
CreateQurantineArchive(GetAVZDirectory+'virusinfo_7708_quarantine.zip');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\arm32.dll');
DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите файл [b]virusinfo_7708_quarantine.zip[/b] из каталога AVZ через форму [url]http://virusinfo.info/upload_virus.php[/url]. Ссылка на тему: [url]http://virusinfo.info/showthread.php?t=7708[/url]

И сделайте новые логи.

Выполнил скрипт. Комп перезагрузился. Выслал файл по указанной схеме. Сделал логи. Посмотрите пожалуйста.

Заинтересовали пара строчек из лога Hijacka. Нужны комментарии хелперов.
[CODE]F2 - REG:system.ini: Shell=
O4 - HKLM\..\RunOnce: [*Restore] C:\WINDOWS\system32\restore\rstrui.exe -c
[/CODE]
1.Поискать в AVZ (Сервис -- Поиск файлов на диске) arm32reg
Если найдется, то добавить в карантин и прислать.
2.Профиксить в HijackThis
[CODE]O2 - BHO: (no name) - {21384D29-1240-2d4f-A15C-17E42823D523} - C:\WINDOWS\system32\ipv6monl.dll (file missing)
O20 - Winlogon Notify: arm32reg - C:\WINDOWS\
[/CODE]

[CODE]F2 - REG:system.ini: Shell=[/CODE]
также пофиксить в HijackThis

Хорошо, сделаю. Логи потом делать и присылать?

По-моему, необязательно. Зверя удавили. Больше ничего самодвижущегося не видно.

Один уточняющий вопрос: *.musicmatch.com в доверенные узлы сами заносили?

Для порядка можно и прислать. Всякое бывает, некоторые вирусы как птица Феникс из небытия возвращаются.

[QUOTE]Один уточняющий вопрос: *.musicmatch.com в доверенные узлы сами заносили?[/QUOTE]
Сам. Вместе с мышкой лицензионный проигрыватель прилогался :)

Пофиксю, пришлю логи для проверки.
Спасибо.

Да, странно, зачем восстановление системы в автозагрузке...
имхо тоже пофиксить, нечего этому там делать
[QUOTE=PavelA;93576]1.Поискать в AVZ (Сервис -- Поиск файлов на диске) arm32reg
Если найдется, то добавить в карантин и прислать.[/CODE][/QUOTE]

а также ещё разок пошукать эти -
C:\WINDOWS\System32\logon.scr
C:\WINDOWS\system32\userinit.exe
Scrnsave.exe
logonui.exe

Все выполнил, как Вы сказали. Пофиксил. Перезагрузил - и УРА ;) появился рабочий стол))))))
Сделал логи. Посмотрите пожалуйста.

arm32reg AVZ не нашел.