Пожалуйста, помогите!

У меня всплывают не с того не с сего баннеры прямо на рабочем столе, точнее не баннеры, а графические объекты :? и открываются страницы типа:
[URL="http://www.intern-etadvertising.com/normal/yyy65.html"]http://www.intern-etadvertising.com/normal/yyy65.html[/URL], [URL="http://www.myfuncards.com/?partner=ZUxdm209&spu=true"]http://www.myfuncards.com/?partner=ZUxdm209&spu=true[/URL]

После сканирования систеы различными антивирусами, было удалено громное количество вирусов, троянов и ругих вредоносных програм, но проблема осталась (окна попрежнему открываются), после долгих поисков я наткнулся на этот сайт.
Просканировал систему антивирусом [SIZE=2]AVZ (БАЗА ОТ [SIZE=2] 12.01.2006 10:46)[/SIZE][/SIZE]
ТОЛЬКО ВСЕ ДЕЙСТВИЯ Я ДЕЛАЛ В ОБЫЧНОМ РЕЖИМЕ, Т,К, БЕЗОПАСНЫЙ ТЕПЕРЬНЕ ГРУЗИТСЯ ВООБЩЕ.
[SIZE=2]он кое-что удалил:[/SIZE]
[SIZE=2][SIZE=2]C:\Documents and Settings\roman\Local Settings\Temporary Internet Files\Content.IE5\WXYZGPEF\Installer[1].exe >>>>> AdvWare.Win32.Look2Me.ab
[SIZE=2]C:\Installer.exe >>>>> AdvWare.Win32.Look2Me.ab
[SIZE=2]C:\System Volume Information\_restore{1A0F482A-29E4-4E60-B697-521ECB156C0A}\RP37\A0022521.dll >>>>> AdvWare.ToolBar.Ucmore.a
[SIZE=2]C:\WINDOWS\system32\miupgrd.dll >>>>> AdvWare.Win32.Look2Me.ab
[SIZE=2]C:\WINDOWS\system32\utbmon.dll >>>>> AdvWare.Win32.Look2Me.ab
[SIZE=2]D:\AVAST\DATA\moved\Installer.exe.vir >>>>> AdvWare.Win32.Look2Me.ab
[SIZE=2]D:\System Volume Information\_restore{1A0F482A-29E4-4E60-B697-521ECB156C0A}\RP4\A0009103.exe >>>>> AdvWare.Toolbar.Ucmore
[SIZE=2]D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP56\A0038335.exe >>>>> AdvWare.Win32.SurfAccuracy.d
[SIZE=2]D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP64\A0038860.exe >>>>> Porn-Tool.Win32.ABox.a
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP65\A0039079.dll >>>>> AdvWare.ToolBar.Ucmore.a
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP65\A0039080.dll >>>>> AdvWare.Toolbar.Ucmore
[/SIZE][/SIZE][/SIZE][/SIZE][/SIZE][/SIZE][/SIZE][/SIZE][/SIZE][/SIZE][SIZE=2]D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP65\A0039091.ocx >>>>> AdvWare.AzSearch.b
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP65\A0039096.exe >>>>> Trojan-Downloader.Win32.IstBar.ij
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP65\A0039097.exe >>>>> Trojan-Downloader.Win32.IstBar.gen
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP65\A0039154.dll >>>>> AdvWare.Win32.Look2Me.ab
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP65\A0039165.dll >>>>> AdvWare.Win32.Look2Me.ab
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP66\A0039324.dll >>>>> AdvWare.Win32.Look2Me.ab
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP66\A0039328.dll >>>>> AdvWare.Win32.Look2Me.ab
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP66\A0039341.exe >>>>> AdvWare.Zestyfind удаление запрещено настройкой
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP68\A0039532.dll >>>>> AdvWare.Win32.Look2Me.ab
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP68\A0039536.dll >>>>> AdvWare.Win32.Look2Me.ab
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP74\A0041170.EXE >>>>> Trojan-Downloader.Win32.Small.buy
D:\System Volume Information\_restore{BDB488DF-5E80-461D-AEB8-4DBD31DE6EDD}\RP76\A0042603.exe >>>>> AdvWare.AdURL.c
[SIZE=2]C:\WINDOWS\cXFx\asappsrv.dll --> Подозрение на Keylogger или троянскую DLL

НО ОКНА ПРОДОЛЖАЮТ ВСПЛЫВАТЬ, ЧТО МОЖНО СДЕЛАТЬ????? ПОМОГИТЕ!!! ПОЖАЛУЙСТА
[/SIZE][/SIZE]

1. Выключить восстановление системы как описано в правилах.
2. Повторить сканирования дисков при помощи АВЗ[B][COLOR="Red"] с установленной птицей "Выполнять лечение"[/COLOR][/B].
3. Перегрузиться и повторить все логи.

после лечение прислать файлы (искать из программы AVZ):
c:\windows\cxfx\command.exe
C:\WINDOWS\cXFx\asappsrv.dll
c:\program files\network monitor\netmon.exe
C:\WINDOWS\system32\drivers\i386p.sys
C:\WINDOWS\TEMP\mc21.tmp
msctl32.dll
C:\windows\winsysupd3.exe
C:\WINDOWS\system32\paytime.exe
C:\windows\winsysban3.exe
c:\windows\myupdates.exe
C:\WINDOWS\system32\mvp6l97s1.dll
C:\WINDOWS\system32\mpicda.dll
C:\WINDOWS\system32\kldukx.dll
C:\WINDOWS\system32\nqmarta.dll
c:\secure32.html


из программы HijackThis пофиксить строки:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = [url]http://searchbar.findthewebsiteyouneed.com[/url]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = [url]http://searchbar.findthewebsiteyouneed.com[/url]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = [url]http://searchbar.findthewebsiteyouneed.com[/url]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = [url]http://searchbar.findthewebsiteyouneed.com[/url]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = [url]http://searchbar.findthewebsiteyouneed.com[/url]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
O4 - HKLM\..\Run: [winsysupd] C:\windows\winsysupd3.exe
O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\system32\paytime.exe
O4 - HKLM\..\Run: [winsysban] C:\windows\winsysban3.exe
O4 - HKLM\..\Run: [myupdates] c:\windows\myupdates.exe
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\cXFx\command.exe

А вообще хочется спросить где, собственно, антивирус?

[quote=Geser]1. Выключить восстановление системы как описано в правилах.
2. Повторить сканирования дисков при помощи АВЗ[B][COLOR=red] с установленной птицей "Выполнять лечение"[/COLOR][/B].
3. Перегрузиться и повторить все логи.[/quote]

Все сделал как просили ..... Только ещеразговорю,компьютер не грузится теперь в безопасном режиме, остальное сделал все как надо.

c:\windows\cxfx\command.exe
c:\program files\network monitor\netmon.exe
C:\WINDOWS\system32\gp2sl3f71.dll
C:\WINDOWS\system32\tAembed.dll
C:\WINDOWS\system32\drivers\i386p.sys
C:\windows\winsysupd3.exe
C:\WINDOWS\system32\paytime.exe
C:\windows\winsysban3.exe
c:\windows\myupdates.exe
C:\WINDOWS\system32\mpicda.dll
C:\WINDOWS\system32\kldukx.dll

Эти файлы нужно прислать, а так же зайти в C:\WINDOWS\system32 и прислать нам все файлы созданные вчера и сегодня.

[quote=MOCT]после лечение прислать файлы (искать из программы AVZ):
c:\windows\cxfx\command.exe
C:\WINDOWS\cXFx\asappsrv.dll
c:\program files\network monitor\netmon.exe
C:\WINDOWS\system32\drivers\i386p.sys
C:\WINDOWS\TEMP\mc21.tmp
msctl32.dll
C:\windows\winsysupd3.exe
C:\WINDOWS\system32\paytime.exe
C:\windows\winsysban3.exe
c:\windows\myupdates.exe
C:\WINDOWS\system32\mvp6l97s1.dll
C:\WINDOWS\system32\mpicda.dll
C:\WINDOWS\system32\kldukx.dll
C:\WINDOWS\system32\nqmarta.dll
c:\secure32.html


из программы HijackThis пофиксить строки:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = [URL="http://searchbar.findthewebsiteyouneed.com"]http://searchbar.findthewebsiteyouneed.com[/URL]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = [URL="http://searchbar.findthewebsiteyouneed.com"]http://searchbar.findthewebsiteyouneed.com[/URL]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = [URL="http://searchbar.findthewebsiteyouneed.com"]http://searchbar.findthewebsiteyouneed.com[/URL]
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = [URL="http://searchbar.findthewebsiteyouneed.com"]http://searchbar.findthewebsiteyouneed.com[/URL]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = [URL="http://searchbar.findthewebsiteyouneed.com"]http://searchbar.findthewebsiteyouneed.com[/URL]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
O4 - HKLM\..\Run: [winsysupd] C:\windows\winsysupd3.exe
O4 - HKLM\..\Run: [PayTime] C:\WINDOWS\system32\paytime.exe
O4 - HKLM\..\Run: [winsysban] C:\windows\winsysban3.exe
O4 - HKLM\..\Run: [myupdates] c:\windows\myupdates.exe
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\cXFx\command.exe[/quote]

ЭТИХ ФАЙЛОВ В СИСТЕМЕ НЕТ, ХОТЬ УБЕЙТЕ
c:\windows\cxfx\command.exe
C:\WINDOWS\cXFx\asappsrv.dll
C:\WINDOWS\TEMP\mc21.tmp
msctl32.dll
C:\WINDOWS\system32\paytime.exe
windows\winsysban3.exe
C:\WINDOWS\system32\mvp6l97s1.dll
C:\WINDOWS\system32\mpicda.dll
C:\WINDOWS\system32\kldukx.dll
C:\WINDOWS\system32\nqmarta.dll
ЭТОТ ФАЙЛ ЯВЛЯЕТСЯ СТАРТОВОЙ СТРАНИЦЕЙ, НО ЕГО НЕТ, его AVAST далил, но мне вручную не поменять стартовую страницу.
c:\secure32.html

Остальные файлы нашел, они в архиве ....
И что значит профиксить???

[quote=Geser]c:\windows\cxfx\command.exe
c:\program files\network monitor\netmon.exe
C:\WINDOWS\system32\gp2sl3f71.dll
C:\WINDOWS\system32\tAembed.dll
C:\WINDOWS\system32\drivers\i386p.sys
C:\windows\winsysupd3.exe
C:\WINDOWS\system32\paytime.exe
C:\windows\winsysban3.exe
c:\windows\myupdates.exe
C:\WINDOWS\system32\mpicda.dll
C:\WINDOWS\system32\kldukx.dll

Эти файлы нужно прислать, а так же зайти в C:\WINDOWS\system32 и прислать нам все файлы созданные вчера и сегодня.[/quote]

Файлы созданные за вчера и сегодня:
mv4ml9h11.dll
tAembed.dll
gp2sl3f71.dll - эти система не дает скопировать
файлы выслал на e-mail, т.к. они превышают 1 Mb


Из списка:
нет в системе:
c:\windows\cxfx\command.exe
C:\WINDOWS\system32\mpicda.dll
C:\WINDOWS\system32\kldukx.dll
c:\windows\cxfx\command.exe

А как искал? Через АВЗ как написано в правилах?

[quote=Geser]А как искал? Через АВЗ как написано в правилах?[/quote]

:X :X опс ...................... нет .................. в ручную ............

Попробуй через АВЗ.

[quote=Geser]Попробуй через АВЗ.[/quote]
Ок ок ок

[quote=Geser]Попробуй через АВЗ.[/quote]

ОГО :no:

[QUOTE=Geser]
Эти файлы нужно прислать, а так же зайти в C:\WINDOWS\system32 и прислать нам все файлы созданные вчера и сегодня.[/QUOTE]
блин, ну зачем такие советы? это хорошо, что винда не 95-98, а то бы нам реестр всем комплектом обломился... да и всякие setupapi.log и прочие нам тоже вряд ли нужны...

[QUOTE=DINAMIT]ОГО :no:[/QUOTE]
что?
искать нужно из AVZ со включенной галкой противодействия руткитам.
про "пофиксить" читать тут: [url]http://virusinfo.info/showthread.php?t=4491[/url]

Все файлы выслал на e-mail

[QUOTE=MOCT]блин, ну зачем такие советы? это хорошо, что винда не 95-98, а то бы нам реестр всем комплектом обломился... да и всякие setupapi.log и прочие нам тоже вряд ли нужны...[/QUOTE]
Ну ладно, забыл написать что только с расширением dll,sys,exe, чего шуметь так?:)

[quote=MOCT]что?
искать нужно из AVZ со включенной галкой противодействия руткитам.
про "пофиксить" читать тут: [URL="http://virusinfo.info/showthread.php?t=4491"]http://virusinfo.info/showthread.php?t=4491[/URL][/quote]

Сейчас сделаем ;)

ВСЕ, ПОФИКСИЛ :)

[QUOTE=Geser]Ну ладно, забыл написать что только с расширением dll,sys,exe, чего шуметь так?:)[/QUOTE]
да такой подход тоже не будет правильный. простейший пример - guard.tmp. а еще всякие html, bat, файлы без расширений и прочая...

[QUOTE=MOCT]да такой подход тоже не будет правильный. простейший пример - guard.tmp. а еще всякие html, bat, файлы без расширений и прочая...[/QUOTE]
Ну пока нет возможности копировать залоченные файлы так лучше чем ничего.

[QUOTE=DINAMIT]Сейчас сделаем ;)
ВСЕ, ПОФИКСИЛ :)[/QUOTE]

из файла c:\windows\system32\drivers\etc\hosts удалить все строки, кроме строки "127.0.0.1 localhost"

среди присланных в 1 и 2 архиве файл i386p.sys - троян, его нужно удалять.

в последнем письме command.exe - тоже троян

удаляйте эти файлы, перезагружайтесь, делайте новые логи

[QUOTE=MOCT]среди присланных в 1 и 2 архиве файл i386p.sys - троян, его нужно удалять.
[/QUOTE]
Насколько я помню i386p.sys так просто не удалить. Нужно сначала удалить его "папу" предположительно msctl32.dll

[quote=Geser]Насколько я помню i386p.sys так просто не удалить. Нужно сначала удалить его "папу" предположительно msctl32.dll[/quote]

Не, все удалилось :)

[QUOTE=Geser]Насколько я помню i386p.sys так просто не удалить. Нужно сначала удалить его "папу" предположительно msctl32.dll[/QUOTE]
папу нам не прислали, поэтому сделать вывод о его существовании не могу. хотя это еще вопрос - кто кого прикрывает...

2 DINAMIT : файлы atmtd.dll* удаляйте - они выкачиваются трояном command.exe из интернета

(кстати, баннеры на рабочем столе ставит именно command.exe)

и ждем новые логи.

Баннеры вроде не выскакивают :) НО вот ууушки, вот что выскочило, когда я перезагрузился:
[URL="http://www.dealiotoday.com/normal/yyy102.html"]http://www.dealiotoday.com/normal/yyy102.html[/URL]
[URL="http://vaclick.epilot.com/click.aspx?x=efu9sl9kFGBdtaLVhLIQXvFv3TlHUgo7kn%2FNs7Ls01R14nXHh%2F4ej6Ky1ijJ6NdKqCRtNFKVt86HZ8q1D1u74Jj4PxXVL2mWRtYTI5Hn9UaxOvWSXqN4xMPpSAbHbXxMXap2oUuaOfX4%2F7fzmsgDH%2B2BM1sGgv7ZcBgOaFU0SXgdtjtGjnzkKd9FtgkwSo%2Bd0wImbqW%2FhmyDGwgniPktVLlMZ1UMA6gnjQhYz0WBfUtvZuJp%2BftcspSyWT0AA%2FvvMFohX%2Bsj3SrQfIRG7SXbC%2FzTtQb3dpH0xPWDOZBZrSk82wfq9VgjHpOUj8poTxtKKYKpqfa4D47PZsnq3tWW6AEbRjWDGgQ1"]http://vaclick.epilot.com/click.aspx?x=efu9sl9kFGBdtaLVhLIQXvFv3TlHUgo7kn%2FNs7Ls01R14nXHh%2F4ej6Ky1ijJ6NdKqCRtNFKVt86HZ8q1D1u74Jj4PxXVL2mWRtYTI5Hn9UaxOvWSXqN4xMPpSAbHbXxMXap2oUuaOfX4%2F7fzmsgDH%2B2BM1sGgv7ZcBgOaFU0SXgdtjtGjnzkKd9FtgkwSo%2Bd0wImbqW%2FhmyDGwgniPktVLlMZ1UMA6gnjQhYz0WBfUtvZuJp%2BftcspSyWT0AA%2FvvMFohX%2Bsj3SrQfIRG7SXbC%2FzTtQb3dpH0xPWDOZBZrSk82wfq9VgjHpOUj8poTxtKKYKpqfa4D47PZsnq3tWW6AEbRjWDGgQ1[/URL]

Ну, судя по всему осталось самое неприятное [URL="http://virusinfo.info/showthread.php?t=4481"]look2me[/URL]

:embarasse БАННЕР ВЫПОЛЗ, причем было затишье и тут одновременно баннер и окно с ууууу.... Наверно это один и тот же, но сейчас как-то не постоянно раньшетак в каждую минуту ....

[QUOTE=DINAMIT]:embarasse БАННЕР ВЫПОЛЗ, причем было затишье и тут одновременно баннер и окно с ууууу.... Наверно это один и тот же, но сейчас как-то не постоянно раньшетак в каждую минуту ....[/QUOTE]
look2me выкачивает всякую дрянь из инета. Нужно его сначала прибить.

[quote=Geser]Ну, судя по всему осталось самое неприятное [URL="http://virusinfo.info/showthread.php?t=4481"]look2me[/URL][/quote]

Мне делать все что указано здесь?

[QUOTE=DINAMIT]Мне делать все что указано здесь?[/QUOTE]
Не всё. Там несколько способов. Нужно выбрать любой на вкус.

[quote=Geser]Не всё. Там несколько способов. Нужно выбрать любой на вкус.[/quote]
Сейчас попробую .......

Файлики пришли, точный диагноз по ним:
cXFx\command.exe = AdWare.Win32.CommAd.a
system32\drivers\i386p.sys = Trojan.Win32.Agent.of (это трояно-руткитный драйвер, зашифрованный к тому-же)
Эти два файла нужно прибить через отложенное удалене AVZ (файл/отложенное удаление), перезагрузиться и убедиться, что они убились.
Судя по последним логам Geser прав - это классический Look2me, если не поможет инструкция по указанной ссылке, то проще снять HDD, прицепить к другому ПК и прибить "зверя" ...

ВСЕ ВРОДЕ БОЛЬШЕ НИЧЕГО НЕ ВСПЛЫВАЕТ :) ВСЕМ ОГРОМНОЕ СПАСИБО !!!!!!!!!!!!!!!! САЙТ СУПЕР!!!!!!!!!

Всегда рады :) Только не плохо бы для контроля еще раз сделать логи.

[quote=Geser]Всегда рады :) Только не плохо бы для контроля еще раз сделать логи.[/quote]

ВОТ ЛОГИ ...... ЕЩЕ РАЗ СПАСИБО !!!!

из файла c:\windows\system32\drivers\etc\hosts удалить все строки, кроме строки "127.0.0.1 localhost"

В HijackThis пофиксить
O20 - Winlogon Notify: H323TSP - C:\WINDOWS\system32\guard.tmp (file missing)
O20 - Winlogon Notify: ModuleUsage - C:\WINDOWS\system32\mpicda.dll (file missing)
O20 - Winlogon Notify: WindowsUpdate - C:\WINDOWS\system32\gp2sl3f71.dll (file missing)

[QUOTE=DINAMIT]ВОТ ЛОГИ ...... ЕЩЕ РАЗ СПАСИБО !!!![/QUOTE]

Ещё немного хлама -

O23 - Service: Abangid - - (no file)
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\cXFx\command.exe (file missing)
O23 - Service: Network Monitor - Unknown owner - C:\Program Files\Network Monitor\netmon.exe (file missing)

Тоже пофиксить.

А вот Hosts я бы не чистил, меньше будет шансов зацепить какой-нибудь гадости в будующем, Look2Me честно туда добавил своих конкурентов :P

ВСЕ, ПОСМОТРИТЕ, ПЛИЗ ЕЩЕ РАЗ, А ТО МАЛО ЛИ ;)

В принципе для полного счастья можно в АВЗ->Менеджер расширений проводника удалить
C:\WINDOWS\system32\kldukx.dll
C:\WINDOWS\system32\guard.tmp

но это уже косметика, так всё чисто

[quote=Geser]В принципе для полного счастья можно в АВЗ->Менеджер расширений проводника удалить
C:\WINDOWS\system32\kldukx.dll
C:\WINDOWS\system32\guard.tmp

но это уже косметика, так всё чисто[/quote]

ВСЕ СПАСИБО!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!