Об этом вирусе говорили уже 2 раза у вас на сайте ("VIRUS ALERT!" и "Три ярлыка на рабочем столе")

Здравствуйте!
Об этом вирусе говорили уже 2 раза у вас на сайте. Поиск лечения приводит только к вам. Симптомы и у меня аналогичные:

1) на рабочем столе три ярлыка: Error Cleaner, Privacy Protector, Spyware&Malware Protection
2) в свойствах ярлыков прописан адрес: [URL="Хttp://viruswebprotect.com/shandler.php?sid=0&pn=&aid=0&said=0&sg=1"][COLOR=#0000ff]http://viruswebprotect.com[/COLOR][/URL]
3) периодически на экране появляется сообщение:
Security Warning!
4) в трее висит значек: красный шестиугольник с белым крестом внутри. Этот значек периодически извергает всплывающее окно "System Alert" с расказом о том какай опасности подвергается мой компьютер.
5) приоритет открытых окон также периодически меняется.
6) "Диспетчер задач отключен администратором"
7) также периодически открывается IExplorer (Хотя я использую Мозиллу как браузер по умолчанию)
8 ) возле иконки часов висит надпись VIRUS ALERT!
9) все попытки лечения (с помощью Avira) не увенчались успехом.
10) пробовал заново установить винду - безрезультатно.
11) так же система очень сильно тормозит.

Очень надеюсь на вашу помощь. Заранее благодарен !!!

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{ADDFF958-2D8B-40E4-B7FA-37F2D34E39D0}');
DelBHO('{F22B7E8D-83B6-4369-A6B6-35312541D85F}');
QuarantineFile('C:\Windows\system32\YUR1.exe','');
QuarantineFile('C:\Program Files\MSA\MSA.exe','');
QuarantineFile('C:\WINDOWS\system32\etsngcld.dll','');
QuarantineFile('C:\WINDOWS\system32\urqNDTMD.dll','');
QuarantineFile('C:\WINDOWS\system32\ddcDtUKC.dll','');
QuarantineFile('C:\WINDOWS\dtseqrxk.dll','');
DeleteFile('C:\WINDOWS\dtseqrxk.dll');
DeleteFile('C:\WINDOWS\system32\ddcDtUKC.dll');
DeleteFile('C:\WINDOWS\system32\urqNDTMD.dll');
DeleteFile('C:\WINDOWS\system32\etsngcld.dll');
DeleteFile('C:\Program Files\MSA\MSA.exe');
DeleteFile('C:\Windows\system32\YUR1.exe');
DeleteFile('C:\Windows\system32\YUR2.exe');
DeleteFile('C:\Windows\system32\YUR3.exe');
DeleteFile('C:\Windows\system32\YUR3C7.exe');
DeleteFile('C:\Windows\system32\YUR3CB.exe');
DeleteFile('C:\Windows\system32\YUR3CC.exe');
DeleteFile('C:\Windows\system32\YUR3CD.exe');
DeleteFile('C:\Windows\system32\YUR4.exe');
DeleteFile('C:\windows\system32\rlvknlg.exe');
DeleteFile('urqNDTMD.dll');
ExecuteRepair(11);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(17);
ExecuteRepair(16);
RegKeyStrParamWrite('HKCU','Control Panel\International','sTimeFormat','H:mm:ss');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи...

Огромное спасибо!!! Вроде все нормализовалось!!!

А карантин загрузился? Я кажется все правильно сделал...

карантин пришел ...
делайте логи ...

Они почему-то не хотят вкладываться в сообщение...

Я не могу вложить [B]hijackthis[/B] и [B]virusinfo_syscure[/B], он выдает - "Страница, которую вы пытаетесь просмотреть, не может быть показана, так как она использует неверную или неподдерживаемую форму компрессии." или "Вы уже вложили этот файл в теме : [URL="http://virusinfo.info/showthread.php?t=29952"]Об этом вирусе говорили уже 2 раза у вас на сайте ("VIRUS ALERT!" и "Три ярлыка на рабочем столе")[/URL]"

Как быть?:(

переименуйте файлы ...

Пробовал, тоже самое - "Вы уже вложили этот файл"...

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Может я старые удалю?

пробуйте

Даже переименованные при удаленных старых, он принимает за уже выложенные...:(

ну залейте на slil.ru и ссылки дайте

[URL]http://zalil.ru/upload/26133589[/URL]

[URL]http://zalil.ru/upload/26133596[/URL]

По этим ссылкам можно зарузить файлы, а не скачать.
Соберите все логи в один архив, в названии не используйте русские буквы и повторите попытку.

В этот архив все вложил...

Профиксить остатки в HijackThis:
[CODE]O2 - BHO: (no name) - {F22B7E8D-83B6-4369-A6B6-35312541D85F} - C:\WINDOWS\system32\urqNDTMD.dll (file missing)
O2 - BHO: (no name) - {FE47CB94-E6BF-4AD6-8B19-66A7A07746B3} - C:\WINDOWS\system32\ddcDtUKC.dll (file missing)
O4 - HKCU\..\Run: [antispy] C:\Program Files\IEAntiVirus\ANTIVIR.exe
O20 - Winlogon Notify: urqNDTMD - C:\WINDOWS\
[/CODE]

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

То, что было:
Свежие:
ddcDtUKC.dll - Trojan.Win32.Monder.nhj,

dtseqrxk.dll - Trojan.Win32.Vapsup.lei,

etsngcld.dll - Trojan.Win32.Monder.nhk,

urqNDTMD.dll - Trojan.Win32.Monderb.mpk
А вот это старенький
VirtualNetwork.dll - not-a-virus:WebToolbar.Win32.VirtualNetwork.a

Кстати, можно деинсталлировать VirtualNetwork станд. методом.

Я профиксил, что сказали, VirtualNetwork удалил, а с остальным что делать?

А что-то еще беспокоит?

Да вроде нет. :)

[QUOTE=Iltever;282080]Да вроде нет. :)[/QUOTE]
Тады все.
Сервис Пак 3 поставьте, возможно потребуется активация системы.

[quote=Rene-gad;282081]Сервис Пак 3 поставьте, возможно потребуется активация системы.[/quote]

Это как?:O
У меня ещё такая фигня: при включении или перезагрузке компьютера мне приходиться выбирать между двумя ОС, собственно [I]Microsoft Windows XP Professional[/I] и [I]Microsoft Windows XP Professional [U]Setup[/U], [/I]причем второй не отвечает... не подскажете как от него избавиться? :(

[QUOTE=Iltever;282090]Это как?:O[/QUOTE]
Каждая установка Виндовс активируется 25-значным ключом. Если у Вас ОЕМ - этот ключ Вы найдете наклеенным на корпусе ПК/Ноутбука. Если нет - обратитесь к продавцу, где приобретали систему.
[QUOTE=Iltever;282090].. не подскажете как от него избавиться? :([/QUOTE]
Удалите строчку, которая [B]не запускается[/B], в файле c:\boot.ini. Он обрабатывается в любом текстовом редакторе.

Очень сильно после всего стали тормозить браузера IE7 и Мозилла... Как думаете, есть смысл переустанавливать?

Вы кэш почистили? Кукисы старые удалили?

Почистил. Помогло. Спасибо большое! :-)))

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 39 минут[/I][/B][/color][/size]

Помогло. Но не на долго. Опять тормозит браузер: виснет периодически (в частности с вашим форумом проблемы возникают), не открывает многие страницы вообще.
Я тут посмотрел, оказывается скорость моего ВПН-соединения 12 МБбит/с, а должно быть 100 МБбит/сек. Это может быть связано с моими личными настройками, или мне с претензиями к провайдеру? :(

Форум у нас работает не как швейцарские часы, к сожалению...:( Это не показатель. А другие браузеры как?
Скорость соединения в принципе вопрос провайдера. Другой вопрос - чем Вы ее меряете?
[url]http://www.sunrise.ch/privatkunden/angebote/internet-festnetz/internet-dienste/speedometer.htm[/url] нажмите на кнопку Starten.

[quote=Rene-gad;282866]Форум у нас работает не как швейцарские часы, к сожалению...:( Это не показатель. А другие браузеры как?
Скорость соединения в принципе вопрос провайдера. Другой вопрос - чем Вы ее меряете?
[URL]http://www.sunrise.ch/privatkunden/angebote/internet-festnetz/internet-dienste/speedometer.htm[/URL] нажмите на кнопку Starten.[/quote]

У меня Мозилла и IE7 стоят, симптомы одинаковые у обоих...
Скорость я посмотрел в диспетчере задач...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

И еще, я, вроде, удалил лишнюю строчку в c:\boot.ini., как вы и сказали, остался там такой текст:
[I][Boot Loader]
Timeout=5
Default=C:\$WIN_NT$.~BT\BOOTSECT.DAT
[Operating Systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional RU" /noexecute=optin /fastdetect
[/I]При загрузке все равно на выбор появляется, еще какой-то [I]Виндовс (по умолчанию)...:([/I]

[QUOTE=Iltever;282877]
Скорость я посмотрел в диспетчере задач...[/QUOTE]У меня диспетчер задач скорость не показывает...8)
[B]Default=C:\$WIN_NT$.~BT\BOOTSECT.DAT[/B] там ИМО ни к чему.
Скопируйте файл c:\boot.ini на чистую флешки или дискетту.
Уберите эту строчку, сохраните файл, перегрузитесь.
Если будут проблемы - загрузитесь с дистрибутива , давите клавишу R, замените файл в консоли восстановления на старый с флешки/дискетты.
Тут посмотрите:
[url]http://www.shram.kiev.ua/help/xp/fajl_boot.php[/url]
[url]http://mirror.href.com/thestarman/asm/mbr/bootini.htm[/url]

[quote=Rene-gad;282887][B]Default=C:\$WIN_NT$.~BT\BOOTSECT.DAT[/B] там ИМО ни к чему.[/quote]
Избавился от бяки, перезагрузил. Все ОК! Спасибо!:)

[quote=Rene-gad;282887]У меня диспетчер задач скорость не показывает...8)[/quote]

Во вкладке "Сеть", внизу - "Адаптер", "Использование сети", Скорость линии", "Состоянии". Там у меня "подключение по локальной сети" (100 МБбит/с) и "ВПН-соединение" - 12 МБбит/с, хотя раньше оно тоже показывало 100 МБбит/с. :(
Я поинтересовался у провайдера, но от них очень трудно бывает добиться каких-то разъяснений... Хотя это и не удивительно, учитывая, что у меня даже письменного договора с ними нет. 8)

[QUOTE=Iltever;282903]
Во вкладке "Сеть", внизу - "Адаптер", "Использование сети", Скорость линии", "Состоянии". Там у меня "подключение по локальной сети" (100 МБбит/с) и "ВПН-соединение" - 12 МБбит/с, хотя раньше оно тоже показывало 100 МБбит/с.[/QUOTE]А, понял, это скорость возможной передачи по сети, с провайдером оно не имеет ничего общего. Больше сказать ничего не могу, т.к. VPN мне не знаком никак, сорри. :)

Опять неизвестные ярлыки стали появляться на рабочем столе... Теперь со ссылкой на этот сайт: [url]:http:casinofree2400.com/[/url]:(

Щас посмотрю старые логи, там еще что-то осталось

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\ВАДИМ\so7.exe','');
QuarantineFile('C:\WINDOWS\system32\ddcDtUKC.dll','');
QuarantineFile('C:\WINDOWS\system32\urqNDTMD.dll','');
DelBHO('{6C517674-DE1C-4493-977C-34A1BFAB35BA}');
DelBHO('{FE47CB94-E6BF-4AD6-8B19-66A7A07746B3}');
DelBHO('{F22B7E8D-83B6-4369-A6B6-35312541D85F}');
DeleteFile('C:\Program Files\VirtualNetwork\VirtualNetwork.dll');
DeleteFile('C:\WINDOWS\system32\urqNDTMD.dll');
DeleteFile('C:\WINDOWS\system32\ddcDtUKC.dll');
DeleteFile('C:\Documents and Settings\ВАДИМ\so7.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Сделал логи. А карантин прошел?

в логах ничего подозрительного

А карантин прошел?

[QUOTE=Iltever;282986]А карантин прошел?[/QUOTE]Да, очевидно все было удалено АВЗ автоматически.

Эта проблема при перезагрузке опять вернулась (хотя по тексту в boot всего одна ОС по умолчанию)... Браузеры работают ужасно...

давайте новые логи ...
локальная сеть есть ?

Да, локальная сеть есть.

Сделайте как тут написано: [url]http://virusinfo.info/showthread.php?t=15927[/url]

Уже несколько раз пытался заново установить Windows, однако установка длится только до первой перезагрузки... потом все... после перезагрузки Windows Setup не отвечает... собственно после первой попытки переустановить Винду у меня и возникли проблемы с boot.ini. :(
Я уже один раз переустанавливал Винду с компьютера, все нормально было...
Сделть как по ссылке я не могу, нет второго компа...

А причем тут boot.ini? Сохраните данные, удалите системный раздел и сделайте нормальную установку системы.