BackDoor.Bho.6 постоянное восстановление вируса

NOD с постоянным обновлением вирусов не обнаруживал, CureIT, которым дополнительно периодически проверяю, обнаружил и удалил BackDoor.Bho.6, однако стало появляться окошко Требуется перезагрузка, если не нажимаешь Нет в течение 5-10 сек, то система сама перезагружается и все вирусы опять на месте.
Касперский что-то налечил, перезагрузок пока нет, но при загрузке системы в центре экрана выскакивает какое-то смутное окно, в IE видишь загруженную страницу, а внижней строке иногда мелькают какие-то адреса, хотя по ссылкам курсором не водишь.
Помогите, пожалуйста, долечить или вылечить компьютер.
Извините, первый раз при выполнении Скрипт лечения/карантина ... не был открыт IE. Высылаю версию 2 с открытым IE

файлы тут. Ваша учетка не позволяет загружать файлы. Вы авторизованы на форуме?

Если надо сделать что-то кроме входа с моим логином и паролем (они активированы вчера, вернее сегодня в 0:19, то нет, а если достаточно, то, вероятно, да?
Какая дополнительная авторизация нужна?

удалите задания в планировщике ...
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ..

Подскажите, пожалуйста, где этот планировщик искать? Он вроде до всех этих вирусов висел слева внизу, но теперь исчез.
Это в Панели управления Назначенные задания?

[QUOTE=Zink;236450]
Это в Панели управления Назначенные задания?[/QUOTE]
да ...

После выполнения скрипта все исчезло с экрана кроме заставки, перезагружаться пришлось по кнопке.
Новые логи

Если это не Ваш знакомый сервер - пофиксите
[CODE]O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = aviel.ru
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = aviel.ru[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
ClearHostsFile;
DeleteService('Tcj18');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{1A4F919F-4334-4abf-BF47-0836A8B5A54B}');
QuarantineFile('C:\WINDOWS\System32\Drivers\Tcj18.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Tcj18.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки повторите логи от п. 10 правил.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=Zink;236412]
Какая дополнительная авторизация нужна?[/QUOTE]Вы подтвердили регистрацию по ссылке в автоматическом письме от форума?

Регистрация подтверждена вчера примерно в тоже время, что сейчас - после 00 часов
aviel.ru - это мой провайдер (через него подключение к сети). Поскольку требовалось держать включенным IE, он был запущен, а страница загрузки - домашняя.
Фиксить не надо?
А скрипт выполнять?

Логи после выполнения скрипта №2 (без Fix)

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('tcpsr');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
virusinfo_syscheck.zip - повторите ...

В карантин никто не попался после выполнения скрипта №3, поэтому высылаю только логи с п.10

ничего подозрительного ...

Большое спасибо!
Правильно ли японимаю, что все пока вылечилось с Вашей помощью?
Опять очень быстро все стало выполняться, а то я уже и не замечала, как компьютер тормозит.
Какой антивирус все-таки покупать - Касперского или DrWeb? Или NOD продлить (но он что-то плохо вирусы ловил)? Пожалуйста, посоветуйте.

[QUOTE=Zink;236565]Б
Какой антивирус все-таки покупать - Касперского или DrWeb[/QUOTE]
что вам больше нравиться ... оба достойные продукты ...

Добрый день!

Какая-то гадость осталась, вероятно. Каперский показывает
Возможно Invader

Внедряемый процесс:
C:\WINDOWS\system32\svchost.exe
ID процесса (PID): 1924

Попытка внедрения в процесс:
\\?\C:\WINDOWS\system32\winlogon.exe
ID процесса (PID): 836

Я выбрала из меню Запретить, а что дальше-то? раньше тоже выскакивали окошки svchost.exe выполнил недопустимую операцию (или что-то в этом роде). После отправки отчета MS - говорят вредоносное ПО, но что конкретно надо скачать с их сайта и есть ли оно для удаления непонятно
Помогите, пожалуйста!
Или надо систему переустанавливать?

Invader это алерт проактивной защиты,он говорит о том,что один процесс пытается внедрится в другой,в вашем случае ничего плохого нет,если вы не понимаете алерты проактивной защиты,лучше отключите ее...

Лучше я не буду... скажите, пожалуйста, а где про них поучиться? - алерты, инвадеры и пр.? В руководстве касперсокго все как-то кратко и для чайников не написано точно, что то или другое действие обозначает. Или он антивирусное ПО для продвинутых делает? так им-то оно не так нужно, как непродвинутым ...спасибо!

проактивная защита действительно для продвинутых , она может защитить от неизвестных угроз , от известных защищает файловый сканер и веб антивирус ...

[QUOTE=V_Bond;236686]проактивная защита ... может защитить от неизвестных угроз , от известных защищает файловый сканер и веб антивирус ...[/QUOTE]Скажем так: Проактивная защита анализирует в первый раз запускаемый неизвестный процесс и спрашивает пользователя о разрешении этому процессу внедрится в жизненно важный системный процесс или службу. Здесь конечно необходимо [I]сотрудничество[/I] пользователя, чтобы [I]Разрешить/Запретить[/I] или же создать для процесса правило [I]Можно, Нельзя[/I] или [I]Каждый раз спрашивать[/I]. Защиту от известных угроз (т.е. файл содержит сигнатуру, которая записана в базах, как зловредная) осуществляют монитор - при обращении к файлу пользователем или процессом, или же файловый сканнер - при проверке носителей на вирусы. От неизвестных угроз без запроса пользователя ащищает эвристика, которая проверяет файл и на основании известных угроз может прогностицировать вредоносность неизвестного файла.
В принципе все три механизма могут ошибаться :)

эвристика работает на основе анализа известных угроз и экстерполяции этого анализа , поэтому в лучшем случае может отреагировать на новую модификацию зловреда , но не на качественно новую угрозу , а вот проактивная защита просто отслеживает изменения в системе , что есть более глобальным методом , но требует большего участия пользователя .... вот :)

Спасибо! Стало более понятно, что хоть делаешь. если не запрещать (после перезагрузки проакт.защита каждый раз спрашивает), то через некоторое время во время сеанса работы появляются окошки Windows:
svchost.exe – Ошибка приложения
Исключение неизвестное программное исключение (0хс0000409) в приложении по адресу 0х5b86a3c0
и
Generic Host Process for Win32 Services – обнаружена ошибка.
Приложение будет закрыто. …

Приложения открытые при этом не закрываются – это какой-то другое неведомое приложение.
Просят отправить сообщение, при отправаке:
Подпись ошибки:
EventType : BEX P1 : svchost.exe P2 : 5.1.2600.2180 P3 : 41107ed6
P4 : netapi32.dll P5 : 5.1.2600.2180 P6 : 411096ac P7 : 0000a3c0
P8 : c0000409 P9 : 00000000

Будут отправлены следующие файлы:
C:\DOCUME~1\val\LOCALS~1\Temp\WERf237.dir00\svchost.exe.mdmp – по 20 мегабайт!
C:\DOCUME~1\val\LOCALS~1\Temp\WERf237.dir00\appcompat.txt

После отправки отчета и переходу по ссылке – сайт MS сообщает о вредоносном ПО.
+ мигает экран (как бы обновляются значки на рабочем столе) и нижняя панель задач. Это, вероятно, уже какая-то новая тема, связанная с глюками ПО MS?

ну . обновления windows нужно регулярно устанавливать ....
лучше сразу сп3 ... или хотябы
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=f4c8e767-4ed2-4e36-aa43-612f3017efc7[/url]
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=9a3bfbdd-62ea-4db2-88d2-415e095e207f[/url]
[url]http://www.microsoft.com/downloads/details.aspx?FamilyID=2996b9b6-03ff-4636-861a-46b3eac7a305&displaylang=ru[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]