Generic Host Process и как устранить дыры

Здравствуйте!
Как вхожу в интернет примерно через пять минут появляется ошибка:
Generic Host Process for Win32 Services
C:\DOCUME~1\DRO.DRO\LOCALS~1\Temp\WER960d.dir00\svchost.exe.mdmp
C:\DOCUME~1\DRO.DRO\LOCALS~1\Temp\WER960d.dir00\appcompat.txt
Что делать и какие дыры у меня есть?
Спасибо

пофиксите ...
[code]
O4 - HKLM\..\Run: [Bron-Spizaetus] "C:\WINDOWS\ShellNew\sempalong.exe"
[/code]
віполните скрипт ...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\ShellNew\sempalong.exe','');
DeleteFile('C:\WINDOWS\ShellNew\sempalong.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
ClearHostsFile;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...
повторите логи...

Вряд ли проблема связана с этим [B]sempalong[/B]'ом.
Скорее всего какой-то червячок в сети пытается использовать незакрытую уязвимость.
Рекомендую установить критические обновления Windows, вышедшие после SP2.
Процентов 99, что проблема тем самым решится.
Вот здесь то, что вам нужно (если вида русская, не MUI):
[url]http://poleznosti.ru/soft/file_catalog/?file_id=20060821091454[/url]

И вот это хозяйство надо по возможности привести в порядок:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]

Большое спасибо, попробую разобраться
Какие антивирусы посоветуете при частом использовании интернета?

[quote=dron;134654]Большое спасибо, попробую разобраться
Какие антивирусы посоветуете при частом использовании интернета?[/quote]
то что у вас , только последний и настроенный по максимуму ;)а лучше ещё файрвол поставить или всё удалить и поставить kis7 ;)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE='dron;134654']разобраться[/QUOTE]
[code] begin
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('TermService', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('Schedule', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
end.[/code]

[size="1"][color="#666686"][B][I]Добавлено через 56 секунд[/I][/B][/color][/size]

Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером [b]с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты [/b]([url=http://virusinfo.info/showthread.php?p=121290#post121290]Firefox[/url] и [url=http://virusinfo.info/showthread.php?t=6577]Opera[/url] это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Здрасти
Я переставил винду с форматированием и установил Касперский Антихакер 1.7 и Нод 32, но через пару минут каспер выдал что меня атаковал DDoS, и потом снова стал терятся траффик, что делать?

не тот диск форматировали ;) ... нужно было форматнуть всех хакеров ,создателей ботнетов , нерадивых пользователей (с заразой на винте), а заодно и свего провайдера ( он тоже может ддосить ) :)
а если серьезно ... то ддос проводится снаружи и вам от него не избавиться (можно только защититься) - это (выражаясь языком классиков материализма) данность не зависящая от вас и ваших знаний о ней ;)
поэтому установка обновлений ,во многих случаях, гораздо эффективнее чем форматирование ...
ну и насчет трафика, давайте логи будем смотреть ...

Вот логи

А это мне нужно делать?
[QUOTE]
begin
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('TermService', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('Schedule', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
end.
[/QUOTE]

Какие еще дыры нужно устранить?

ничего зловредного в логах не вижу ...
потенциальных дыр теперь больше ...

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

решите что вам нужно ... остальное поможем отключить...

помогите отключить:
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)(что это?)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)(что это?)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)(что это?)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)(что это?)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)(что это?)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)(что это?)

> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК домашний
>> Безопасность: разрешен административный доступ к локальным дискам к C (что это?)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Если спрашиваете , значит не нужно ;)
вот почитайте : [url]http://soft.oszone.net/program/63/Spisok_sluzb_v_Windows_XP/[/url]

Для закрытия выполнить следующий скрипт в AVZ:
[code]begin
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('TermService', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
end.[/code]

Правда, что это ча службы? Где можно про них узнать?
RemoteRegistry
TermService
SSDP
Schedule
mnmsrvc
RDSessMgr

[QUOTE=drongo;138862]Если спрашиваете , значит не нужно ;)
вот почитайте : [url]http://soft.oszone.net/program/63/Spisok_sluzb_v_Windows_XP/[/url]
[/QUOTE]
вот ...

я сделал как вы сказали теперь у меня вылетают программ(исчезают через некоторое время): FrontPage, Skype...

У меня опять стал уходить траффик из-за winlogon.exe
Вот что обнаружил NOD 32, может это надо исправить?
1)
Cêaíèpoâaíèe âûïoëíeío ça: 11.10.2007 15:54:57
Ëîã ñêàíèðîâàíèÿ
Âåðñèÿ NOD32 2586 (20071011) NT
Êîìàíäíàÿ ñòðîêà: C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP21 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP0 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP1 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP2 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP3 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP4 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP5 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP6 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP7 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP8 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP9 C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP10 C:\System Volume Information\_res...
Îïåðàòèâíàÿ ïàìÿòü - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
Îïåðàòèâíàÿ ïàìÿòü - - OK

Äàòà: 11.10.2007 Âðåìÿ: 15:55:00
Ïðîâåðåíû äèñêè, ïàïêè è ôàéëû: C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP21\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP0\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP1\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP2\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP3\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP4\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP5\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP6\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP7\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP8\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP9\; C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP10\; C:\Sy
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP21\A0008917.exe - Win32/TrojanDownloader.Agent.DNT òðîÿí
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP14\A0001618.exe - ìîäèôèöèðîâàííûé Win32/TrojanDownloader.Agent.NPQ òðîÿí
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP15\A0001861.ini - Win32/TrojanProxy.Delf.NAJ òðîÿí
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP16\A0002059.ini - Win32/TrojanProxy.Delf.NAJ òðîÿí
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP17\A0002114.ini - Win32/TrojanProxy.Delf.NAJ òðîÿí
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP17\A0002150.ini - Win32/TrojanProxy.Delf.NAJ òðîÿí
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP19\A0002194.ini - Win32/TrojanProxy.Delf.NAJ òðîÿí
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP20\A0004193.ini - Win32/TrojanProxy.Delf.NAJ òðîÿí
C:\System Volume Information\_restore{4D38E72B-7EE2-4198-9348-88997FBA9594}\RP20\A0004220.ini - Win32/TrojanProxy.Delf.NAJ òðîÿí
Êîëè÷åñòâî ïðîâåðåííûõ ôàéëîâ: 2265
Êîëè÷åñòâî íàéäåííûõ âèðóñîâ: 9
Âðåìÿ çàâåðøåíèÿ: 15:55:38 Îáùåå âðåìÿ ñêàíèðîâàíèÿ: 38 ñåê (00:00:38)
2)
Cêaíèpoâaíèe âûïoëíeío ça: 11.10.2007 18:01:30
Ëîã ñêàíèðîâàíèÿ
Âåðñèÿ NOD32 2586 (20071011) NT
Êîìàíäíàÿ ñòðîêà: C:\
Îïåðàòèâíàÿ ïàìÿòü - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
Îïåðàòèâíàÿ ïàìÿòü - - OK

Äàòà: 11.10.2007 Âðåìÿ: 18:01:35
Ïðîâåðåíû äèñêè, ïàïêè è ôàéëû: C:\
C:\hiberfil.sys - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\pagefile.sys - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\Droncs\NTUSER.DAT - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\Droncs\ntuser.dat.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\Droncs\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\Droncs\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\Droncs\Local Settings\Temp\BCGF.tmp - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\Droncs\Local Settings\Temporary Internet Files\Content.IE5\WP2NG9A7\showthread[1].htm - Îøèáêà îòêðûòèÿ [4]
C:\Documents and Settings\LocalService\NTUSER.DAT - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\LocalService\ntuser.dat.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\NetworkService\NTUSER.DAT - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\NetworkService\ntuser.dat.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\System Volume Information\MountPointManagerRemoteDatabase - Îøèáêà îòêðûòèÿ (äîñòóï çàïðåùåí) [4]
C:\WINDOWS\nview.dll - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\CatRoot2\edb.log - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\CatRoot2\tmp.edb - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\default - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\default.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\SAM - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\SAM.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\SECURITY - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\SECURITY.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\software - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\software.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\system - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
C:\WINDOWS\system32\config\system.LOG - Îøèáêà îòêðûòèÿ (ôàéë çàáëîêèðîâàí) [4]
Êîëè÷åñòâî ïðîâåðåííûõ ôàéëîâ: 72456
Êîëè÷åñòâî íàéäåííûõ âèðóñîâ: 0
Âðåìÿ çàâåðøåíèÿ: 18:11:21 Îáùåå âðåìÿ ñêàíèðîâàíèÿ: 586 ñåê (00:09:46)

Ïðèìå÷àíèÿ:
[4] Ôàéë íå ìîæåò áûòü îòêðûò. Îí èñïîëüçóåòñÿ äðóãèì ïðèëîæåíèåì èëè îïåðàöèîííîé ñèñòåìîé.

отключите восстановление системы ...
и давайте логи в студию....

ИСЧЕЗАЮТ ПРОГРАММЫ

Скрипт лечения/карантина и сбора информации пошел только на 5 раз в безопасном режиме, до этого программа AVZ просто исчезала, как и другие программы(что делать???)

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\joslujc.pif','');
QuarantineFile('C:\WINDOWS\nview.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте дополнительный лог:
[url]http://virusinfo.info/showthread.php?t=10387[/url]

У меня еще winlogon постоянно соединяется с 213.21.215.214 порт 80 и чего-то качает
Вот логи:

[[color=#CC0000]moderated: Карантин нужно загружать в соответствии с приложением 3 правил![/color]]

joslujc.pif - [b]Trojan-Downloader.Win32.Tiny.ly[/b]
nview.dll - [b]Backdoor.Win32.Agent.byy[/b]
Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\nview.dll');
DeleteFile('C:\WINDOWS\joslujc.pif');
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.[/code]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Поищите файлы E:\NTACCESS.sys и E:\NTGLM7X.sys
Если найдутся - пришлите по правилам.

у вас материнская плата микростар ?

Забыл добавить - уберите virus111.zip из сообщения.
Для этого есть вверху ссылка Прислать запрошенные файлы.

БОЛЬШОЕ СПАСИБО
Теперь программы не вылетают
Но еще есть проблема Generic Host Process пытается передать udp пакет на255.255.255.255 порт 67
И как можно защитить папку system32 ?

микростар видюха, а мать asus

Я просил два файлика поискать... Не нашлись?

забыл, ща поищу
Еще проблема(на рисунке)
Можно ли делать этот фикс?
[URL]http://avsystemcare.com/data/?mtrt=avds22&gai=swfeed&gli=6018_ao_3923_0_758_ao_&gff=pp_2584668275&mtrt=null&45080703[/URL]

ищите файлы затем новые логи ...

У меня нет диска E:\
Поискал их на С:\ - нету

Что это за файл С:\idzx.exe ?

выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\printer.exe','');
QuarantineFile('C:\WINDOWS\system32\sulimo.dat','');
QuarantineFile('C:\WINDOWS\system32\WinAvXX.exe','');
QuarantineFile('C:\Documents and Settings\Droncs\Главное меню\Программы\Автозагрузка\system.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe','');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe');
DeleteFile('C:\Documents and Settings\Droncs\Главное меню\Программы\Автозагрузка\system.exe');
DeleteFile('C:\WINDOWS\system32\WinAvXX.exe');
DeleteFile('C:\WINDOWS\system32\sulimo.dat');
DeleteFile('C:\WINDOWS\system32\printer.exe');
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи...

Откуда эти вирусы берутся? я скрипты все делал

скрипты борятся с последствиями ...
повторите логи посмотрим может еще ,что осталось ..

Раз те два не нашлись, выполните скрипт:
[code]
begin
BC_DeleteSvc('NTACCESS');
BC_DeleteSvc('SetupNTGLM7X');
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите С:\idzx.exe по правилам.

Мне Касперский антихакер постоянно сообщает о атаках:
qmklkggi.exe
13.10.2007 18:17:20 Ваш компьютер был атакован. Используемая атака - DDoS (отказ в обслуживании). Атака была успешно отражена.
13.10.2007 11:11:12 Ваш компьютер был атакован с адреса ntsitm159180.sitm.nt.ftth.ppp.infoweb.ne.jp. Используемая атака - Helkern. Атака была успешно отражена.
12.10.2007 21:31:46 Ваш компьютер был атакован с адреса 218.75.199.50. Используемая атака - Helkern. Атака была успешно отражена.
12.10.2007 21:06:56 Ваш компьютер был атакован с адреса 82.178.22.22. Используемая атака - Helkern. Атака была успешно отражена.
12.10.2007 14:41:58 Ваш компьютер был атакован с адреса ip-207-190-19-161.frame-relay.ithink.com. Используемая атака - Helkern. Атака была успешно отражена.
12.10.2007 1:12:12 Ваш компьютер был атакован с адреса 60.175.105.201. Используемая атака - Helkern. Атака была успешно отражена.
11.10.2007 23:56:13 Ваш компьютер был атакован с адреса 61.129.49.200. Используемая атака - Helkern. Атака была успешно отражена.
11.10.2007 23:09:20 Ваш компьютер был атакован с адреса 218.241.153.145. Используемая атака - Helkern. Атака была успешно отражена.

Как мне защититься?

Helkern - сетевой червь ... вам он не опасен если у вас нет SQL сервера ...

Как удалить qmklkggi.exe постоянно лезет в инет
Новый лог

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\msindeo.dll','');
QuarantineFile('C:\WINDOWS\System32\lanmanwrk.exe','');
QuarantineFile('\??\C:\WINDOWS\System32\lanmandrv.sys','');
QuarantineFile('c:\windows\system32\qmpagihl.exe','');
DeleteFile('sulimo.dat');
DeleteFile('C:\WINDOWS\System32\lanmanwrk.exe');
DeleteFile('\??\C:\WINDOWS\System32\lanmandrv.sys');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил....

Что-то здесь как дракон с головами, вырастающими вместо отрубленных... У вас же стоит NOD32 - может, стоит начать с обновления его баз и полной проверки + сделать проверку CureIt'ом, как написано в правилах, а потом уже сделать логи, и тогда разберемся, что осталось...

У меня в ноде почему-то при сканировании не появляется окно удаления, хотя вирусы находит
А какой вы мне посоветуете Firewall именно для меня?

Платный?Бесплатный?
Если платный,то рекомендовал бы Agnitum Outpost
[url]http://www.agnitum.ru/products/[/url]

Бесплатный comodo.
[url]http://www.personalfirewall.comodo.com/[/url]

тут можете почерпнуть много полезной информации
[url]http://virusinfo.info/forumdisplay.php?f=40[/url]

Касперского Анти-Хакера в "максимальные настройки" установить. Будем смотреть кто что проситься скачивать из Инета. Дроппер у Вас сидит.

loadzzzz.info

что за Дроппер сидит?
и еще C:\WINDOWS\tcpsvcs32 постоянно в инет лезет на loadzzzz.info, как его удалить?
Вот еще логи