нужна помощь с perfc000.dat

Добрый день!
Очень прошу Вас помочь с троянцом perfc000, я читал другие темы, где вы успешно помогли вылечиться от сего зловреда, вот и я хотел бы к вам обратиться... пробовал удалить его из реестра, но он снова появляется о чем получаю уведомление от НОДа.
И еще, возникла такая проблемка: при нажатии ctrl+alt+del вместо диспетчера задач появляется окно Мои документы. Пожалуй все...

Заранее благодарю!

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\swmclip.dll','');
QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
QuarantineFile('C:\WINDOWS\csrss.exe','');
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\WINDOWS\internt.exe','');
QuarantineFile('C:\WINDOWS\system32\adsndsd.exe','');
QuarantineFile('C:\WINDOWS\system32\kernels32.exe','');
QuarantineFile('C:\WINDOWS\superproxy.exe','');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
DeleteFile('C:\WINDOWS\csrss.exe');
DeleteFile('C:\WINDOWS\system32\perfc000.dat');
DeleteFile('swmclip.dll');
DeleteFile('C:\WINDOWS\system32\kernels32.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [System] C:\WINDOWS\system32\kernels32.exe
O4 - HKCU\..\Run: [NeroFilterCheck] sрoоlsv.exe
O4 - HKLM\..\Policies\Explorer\Run: [system] C:\WINDOWS\csrss.exe
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll
O21 - SSODL: VStorage - {B63FA608-8A6C-4811-B2AA-8A05F5005A5A} - swmclip.dll (file missing)
[/CODE]
Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=11490"]этой[/URL] ссылке. Повторите логи.

Maxim спасибо!
После выпоонения AVZ, комп перезагрузился. И НОД нашел нового трояна...
А когда вошел в фикс в HijackThis то не нашел следующие коды:
[code]O4 - HKLM\..\Run: [System] C:\WINDOWS\system32\kernels32.exe
O4 - HKLM\..\Policies\Explorer\Run: [system] C:\WINDOWS\csrss.exe
O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat
O21 - SSODL: SysRun - {D7FFD784-5276-42D1-887B-00267870A4C7} - C:\WINDOWS\system32\svshost.dll
[/code]
наверное после выполнения скрипта AVZ они удалились...
Если я что-то сделал не так, сорри, не очень разбераюсь в этом.

Результат загрузки
Файл сохранён как 070801_212138_Quarantine_46b0c122dc1ca.zip
Размер файла 2156
MD5 5a5866b0baa01426e54f8feb62a24523
Файл закачан, спасибо!

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
ClearQuarantine;
BC_QrFile('C:\WINDOWS\internt.exe');
BC_QrFile('C:\WINDOWS\system32\adsndsd.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=11490"]этой[/URL] ссылке.

[B][SIZE=2]Я посмотрел карантин, он окзался пустым, так и должно быть? [/SIZE][/B]

[B]Результат загрузки[/B]

Файл сохранён как070801_223626_Quarantine_46b0d2aa0c622.zipРазмер файла312MD548ce28939209ac7f1d4871189c912322[B]Файл закачан, спасибо![/B]

[QUOTE='mapku3;126238']Я посмотрел карантин, он окзался пустым, так и должно быть? [/QUOTE]Так не должно быть.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\internt.exe');
DeleteFile('C:\WINDOWS\system32\adsndsd.exe');
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\internt.exe');
BC_DeleteFile('C:\WINDOWS\system32\adsndsd.exe');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Повторите логи.

После выполнения скрипта комп перезагрузился и я снова по правилам создал новые логи, которые прикрепляю ниже.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\superproxy.exe');
BC_DeleteFile('C:\WINDOWS\superproxy.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O23 - Service: Windows Installer MSIServer HotKey Poller (MSIServer HotKey Poller) - Unknown owner - C:\WINDOWS\system32\adsndsd.exe (file missing) [/CODE]
повторите лог hijackthis

Muzzle, спасибо!

O23 - Service: Windows Installer MSIServer HotKey Poller (MSIServer HotKey Poller) - Unknown owner - C:\WINDOWS\system32\adsndsd.exe (file missing)
осталось. Вы как делали то ?

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('MSIServer HotKey Poller');
BC_DeleteFile('C:\WINDOWS\system32\adsndsd.exe');
BC_DeleteSvc('MSIServer HotKey Poller');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Повторите логи.

Все сделал по описанию в правилах, при выключенных антифирусе и файрволе. после сканирования hijackthis, комп был перезагружен, а лог я прикрепил тут.
Я думал может он вместо удаления, решил сделать repair и поэтому оставил "023 Services..."? А так не должно было быть?!
Кстати после этих скриптов НОД перестал жаловаться на троянцев!
Большое Вам спасибо за это! :)

Походу 023 опять не удалился...
Прикрепляю логи.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипты в AVZ[CODE]begin
BC_DisableSvc('MSIServer HotKey Poller');
BC_Activate;
RebootWindows(true);
end.[/CODE]После перезагрузки ещё один[CODE]begin
BC_DeleteFile('C:\WINDOWS\system32\adsndsd.exe');
BC_DeleteSvc('MSIServer HotKey Poller');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Повторите лог HijackThis.

все сделал как вы и говорили! Спасибо Maxim!

В логах всё нормально. Проблема решена?

Да, проблема решена. Спасибо Вам большое Maxim, и все кто помогал!!! С меня пиво ;)

Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Удачи!

А кстати, диспетчер задач так и не появился... при нажатии ctrl+alt+del открывается окошко мои документы... можно ли и это проблемку решить?
И еще, можно уже включать восстановление системы windows?
А так все хорошо, спасибо за советы Maxim!

AVZ Файл/Восстановление системы", там отметить пункт 11 "Разблокировка диспетчера ...

V_Bond, галочка ничего не дала. Я даже попробовал перезагрузить комп... все также появляется "Мои документы".
Кстати, когда AVZ собирал базы безопасных файлов, он в карантин поместил некоторые файлы, их Вам тоже нужно выслать?

вы нажали на [B]'выполнить отмеченные операциии'[/B] ?

конечно! и даже получил ответ о восстановлении системы... но результата не дало.

попробуйте сделать то-же отметив пунты 6,8,11 ...

ожидаемых результатов не дало... все вроде как прежде.

пуск - выполнить - gpedit.msc. Потом выбираем: конфигурация пользователя - административные шаблоны -система - возможности Ctr+Alt+Del .... что написано ?

удалить диспетчер задач
запретить блокировку компьютера
запретить изменение пароля
запретить завершение сеанса

а состояние: не задана

удалить диспетчер задач - попробуйте сделать отключена ....

попробовал, не помогло...

Надо посмотреть на вот этот ключик в реестре:

[CODE]HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\TaskManager[/CODE]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\svshost.dll - [B]Backdoor.Win32.Small.ng[/B] (DrWEB: BackDoor.Kiddy)[/LIST][/LIST]