Трояны + Автоматическое открытие папок при загрузке.

Здравствуйте уважаемые хэлперы и администраторы раздела.
Постараюсь кратко описать проблему:
1. Выполняя по пунктам ПРАВИЛА - Диагностика на этапе сканирования вэбом в безопасном режиме с внешнего носителя обнаружены и как я понимаю удалены:
Trojan.StartPage.1834 в файле laf80.tmp
Trojan.Spambot.2486 в файле winlogon.exe
Trojan.Spambot.2486 в файле A0118132.sys
Trojan.Spambot.2486 в файле A0111333.sys
Trojan.PWS.Webomier в файле msdnc1.exe

2. Проделав все процедуры я так и не решил проблему, из-за которой я оказался на Вашем форуме и проделал указанную выше диагностику - при загрузке система папка Мои Документы открывается дважды. Прикладываю лог антивирусного сканирования.

Заранее благодарен, надеюсь сделал всё по инструкции :>

Меня видно? :(

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('ntdump.exe','');
QuarantineFile('C:\Program Files\Viewpoint\Common\ViewpointService.exe','');
QuarantineFile('c:\windows\ntdump.exe','');
QuarantineFile('C:\WINDOWS\system32\emfxp.dll','');
QuarantineFile('C:\Program Files\Common Files\Viewpoint\Toolbar Runtime\3.8.0\IEViewBar.dll','');
QuarantineFile('C:\Program Files\HPQ\Default Settings\cpqset.exe','');
QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ser2pl.sys','');
QuarantineFile('C:\Program Files\Viewpoint\Viewpoint Toolbar\3.8.0\ViewBarBHO.dll','');
QuarantineFile('Modeprocsqd.sys','');
QuarantineFile('c:\program files\logitech\quickcam10\quickcam10.exe','');
QuarantineFile('c:\program files\common files\installshield\updateservice\issch.exe','');
DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\winlogon.exe');
DeleteFile('c:\windows\ntdump.exe');
DeleteFile('ntdump.exe');
BC_DeleteFile('ntdump.exe');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=17334[/url]

Повторите логи

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Видно....
Заблокируйте все электронные кошельки, после лечения смените пароли

Что значит "повторить логи"? Опять сканировать в безопасном режиме? по полной всеми инструментами?

[size="1"][color="#666686"][B][I]Добавлено через 43 секунды[/I][/B][/color][/size]

Карантин выслал.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

в процессе запуска скрипта аваст поймал какой-то win.trojan.gen если я правильно запомнил название прежде чем нажал УДАЛИТЬ. название мне что-то совсем не понравилось))

Нет только логи AVZ + HJT
[quote]в процессе запуска скрипта аваст поймал какой-то win.trojan.gen если я правильно запомнил название прежде чем нажал УДАЛИТЬ[/quote]
Интивирусы необходимо отключать при выполнении скрипта

Вот.

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe
[/code]
Выполните скрипт в AVZ:
[code]
begin
BC_DeleteSvc('ids00026');
BC_DeleteSvc('FCI');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Посмотрите, нужно ли вам что-либо из этого:
[code]
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Лишнее отключим.

Какие-нибудь проблемы остались?

1. Всё выполнил.
2. Из указанного - нужен только запуск с CD наверное. Остальное я просто половины даже не знаю.
3. Оставшаяся проблема - при запуске теперь вместо двух папок Мои Документы открывается уже одна.
4. Пропали все контакты ICQ, Но после выкл/вкл ICQ появились снова...

Вот скрипт для отключения ненужного:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.[/code]
Если есть локалка с общим доступом к файлам и принтерам, уберите первую строчку после begin.

Спасибо. Скрипт выполнил. Папка Мои Документы открывается при загрузке... Как устранить сей неприятный факт?

Сделайте новые логи, начиная с п.10 правил.

Папка Мои Документы до сих пор открывается при загрузке.

скопируйте содержимое в блокнот
[code]
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"PersistBrowsers"=dword:00000000
[/code]
сохраните как 1.reg запустите и разрешите добавить в реестр ...

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

и такой скрипт выполните ...
[code]
begin
BC_DeleteSvc('Modeprocsqd');
BC_Activate;
RebootWindows(true);
end.
[/code]

первый скрипт - выполнил
по второму скрипту - указанный файл не является файлом данных реестра..

ну второй для авз ;)
как раз будет перегрузка и у видим добились ли мы желаемого ...

Не добились МЫ желаемого.. неужели документы так ему нравятся.. Что же теперь делать? :(

сделайте экпорт ветки в текстовый файл ...
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
и приложите к сообщению ...

из реестра

проверте ...
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Убедитесь, что все значения в этих разделах не содержат неправильных, незавершенных и пустых записей (таких как "")

ab(по умолчанию) REG_SZ (значение не присвоено)
такая запись в обоих ветках, это нормально?

такие же записи есть и в других ветках..

делайте экспорт будем смотреть - искать .....

машин и юзер

пофиксите ....
[code]
O4 - HKLM\..\Run: [TalkAndWrite] C:\Documents and Settings\All Users\Application Data\Skype\Plugins\Plugins\1163D2B46CC742E5A3CC9E4157887751\TalkAndWrite.exe /run
[/code]
перегрузитесь ...

эото плагин под скайп. фиксить его?

я вижу что плагин .... но он больше всех похож на виновника ... во вторых в хайджек есть возможность отменить изменения ;)

i love u, i really do! ))) Мои документы теперь откроются когда я этого захочу! Уффф... Спасибо Всем кто принимал участие!)

Пару вопросов на последок:
1. Я так понимаю теперь стоит проверить внешних диск на вирусы, какой пункт правил?
2. При переустановке системы первым что ставим антивирус, потом доп. ПО? Алгоритм каков при настройке системы?

Ещё раз спасибо за Ваш труд, который оказался не напрасным!

1 просто стоит проверить ...
2 первым ативирус затем фаервол ... затем все остальное ...

Сорри за оффтоп - а какой файрвол посоветуете? ПРо антивир не спрашиваю))

[URL="http://www.comodo.com/"]Comodo[/URL] ..... отличный и к тому же бесплатный ...

Спасибо!

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

А так ли он хорош.. [url]http://virusinfo.info/showthread.php?t=6348&highlight=comodo&page=9[/url]
???

все что лучше намного сложнее ... да и нужна ли вам стенка на нанастройку которой нужно потратить пару дней и быть специалистом по безопасности ?

Конечно такая не нужна) Спасибо. Эту я так понимаю просто инсталлировать и всё?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Ещё вопрос - при перезагрузке или выключении компьюетра появляется окно, не всегда, но почти каждый раз - завершение программы mediahub.exe - это вирус, я такой программы что-то не знаю..

Повторите логи, посмотрим, что такое.
Сам файл mediahub.exe поищите на диске и пришлите по правилам.

нашёл файл, это SONIC - программа для записи дисков, вот почему она "не всегда" виснет, потому что не каждый раз я её запускаю.. Так что вопрос скорее всего отпал, спасибо! ;-)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]