Как справиться с Hacktool.Rootkit и Packed.Generic.233?

[COLOR=black][FONT=Verdana]Прошу помощи!..[/FONT][/COLOR]
[FONT=Verdana]На домашнем компьютере установлен антивирус Нортон от [/FONT][FONT=Verdana]Symantec[/FONT][FONT=Verdana], который стал выдавать сообщения: найден и удален вирус [/FONT][FONT=Verdana]Hacktool[/FONT][FONT=Verdana].[/FONT][FONT=Verdana]Rootkit[/FONT][FONT=Verdana], затем два раза – найден [/FONT][FONT=Verdana]Packed[/FONT][FONT=Verdana].[/FONT][FONT=Verdana]Generic[/FONT][FONT=Verdana].233. Антивирус их якобы удаляет, но через минуту снова появляются те же сообщения, и так до бесконечности. Одновременно в правом нижнем углу беспрестанно вылезает красный кружок с сообщением: «[/FONT][FONT=Verdana]Your[/FONT][FONT=Verdana]system[/FONT][FONT=Verdana]is[/FONT][FONT=Verdana]infected[/FONT][FONT=Verdana]! (найдено [/FONT][FONT=Verdana]spyware[/FONT][FONT=Verdana]и т.д.)» и периодически пытается загрузиться [/FONT][FONT=Verdana]PC[/FONT][FONT=Verdana]Antyspyware[/FONT][FONT=Verdana] 2010 (за регистрацию которого, кстати, предлагается заплатить). Периодически несколько раз появлялось сообщение от Нортона о попытке изменить мою домашнюю страницу в [COLOR=black]Internet Explorer. Также несколько раз открывалось окошко с «черным экран» - как при работе с командной строкой, и затем – сообщение об ошибке и невозможности выполнения чего-то там (сейчас не воспроизведу, чего именно) с предложнием закрыть или пропустить.[/COLOR][/FONT]

[FONT=Verdana]Полное сканирование с помощью Нортона (которое, кстати, происходило раз в 10 медленнее обычного), находит два вируса, сообщает, что удалены. Но проблема остается.[/FONT]

[FONT=Verdana]Нашла ваш сайт, попыталась выполнить инструкцию.[/FONT]
[FONT=Verdana]1. Запустила скачивание обновления Нортона (антивирус у меня официальный, «за деньги». Обновления скачались, но в процессе были сообщения о невозможности обновить какие-то его части.[/FONT]
[FONT=Verdana]Снова запустила полное сканирование. Результат – сообщение, что найдены и удалены 2 вируса. Но после перезагрузки компьютера – те же проблемы (сообщения о вирусах от Нортона и красный кружок).[/FONT]

[FONT=Verdana]2. В безопасном режиме попыталась запустить [COLOR=black]AVPTool – он выдал сообщение, что антивирусная база повреждена. Тогда попыталась запустить CureIt! В безопасном режиме - тоже не работает. Попробовала AVPTool в обычном режиме – то же сообщение о поврежденной базе. В конце концов запустила CureIt! в обычном режиме – нашел два вируса в трех местах, удалил. ([/COLOR][/FONT][COLOR=black][FONT=Verdana]Trojan[/FONT][/COLOR][COLOR=black][FONT=Verdana].[/FONT][/COLOR][COLOR=black][FONT=Verdana]Download[/FONT][/COLOR][COLOR=black][FONT=Verdana].41506 и [/FONT][/COLOR][COLOR=black][FONT=Verdana]Trojan[/FONT][/COLOR][COLOR=black][FONT=Verdana].[/FONT][/COLOR][COLOR=black][FONT=Verdana]Fakealert[/FONT][/COLOR][COLOR=black][FONT=Verdana].4774). После чего – все те же сообщения о вирусах от Нортона и красный кружок.[/FONT][/COLOR]


[COLOR=black][FONT=Verdana]3. Распаковала AVZ и поместила в новую отдельную папку Запуститла AVZ и обновила базы успешно.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]4. Распаковала HiJackThis и поместила в новую отдельную папку.[/FONT][/COLOR]
[FONT=Verdana]6. Отключила восстановление системы.[/FONT]
[FONT=Verdana]7. Отключилась от Интернета, закрыла все программы.[/FONT]

[FONT=Verdana]Затем диагностика с такими результатами:[/FONT]

[FONT=Verdana]1. [COLOR=black]Запустила [/COLOR][COLOR=black]AVZ, получила файл virusinfo_syscure.zip.[/COLOR][/FONT]
[FONT=Verdana]2. Подключилась к Интернету, запустила [/FONT][FONT=Verdana]AVZ[/FONT][FONT=Verdana](запустился нормально). Но через минуту компьютер без предупреждения перезагрузился!. [/FONT]

[FONT=Verdana]И теперь после каждого подключения к интернету (независимо от того, запускаю я после этого какие-либо программы или нет) компьютер самопроизвольно перезагружается (через полминуты, минуту, две минуты максимум). Сделала этот файл [COLOR=black]virusinfo_syscheck.zip[/COLOR] в [/FONT][FONT=Verdana]AVZ[/FONT][FONT=Verdana]без подключения к интернету, что делать дальше – не знаю! Пишу теперь с рабочего компьютера...[/FONT]

[FONT=Verdana]Кстати, после этого хотела еще раз повторить пункт 1 диагностики – обнаружила, что [/FONT][FONT=Verdana]AVZ[/FONT][FONT=Verdana]теперь вообще перестал запускаться (то есть, никакой реакции на попытку запустить файл). [/FONT]

1. Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Ekaterina\msword98.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Ntfs.sys','');
TerminateProcessByName('c:\windows\system32\braviax.exe');
QuarantineFile('c:\windows\system32\braviax.exe','');
TerminateProcessByName('c:\windows\temp\bn80.tmp');
QuarantineFile('c:\windows\temp\bn80.tmp','');
DeleteFile('c:\windows\temp\bn80.tmp');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('C:\Documents and Settings\Ekaterina\msword98.exe');BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

2. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

3. [B]C:\WINDOWS\system32\Drivers\Ntfs.sys[/B] заменить по [URL="http://virusinfo.info/showthread.php?t=51654"]такой методике[/URL] (с дистрибутива)

4. Сделайте новые логи

[QUOTE=thyrex;450343]
3. [B]C:\WINDOWS\system32\Drivers\Ntfs.sys[/B] заменить по [URL="http://virusinfo.info/showthread.php?t=51654"]такой методике[/URL] (с дистрибутива)

[/QUOTE]

А что делать, если нет дистрибутива? (лэптоп был куплен с предустановленной операционной системой Windows). Единственное, что есть - это созданная на DVD-диске сразу после покупки компьютера бэкап-копия...

[QUOTE=Pippi;450374]А что делать, если нет дистрибутива?[/QUOTE]Замените файлом с аналогичной системы
[QUOTE=Pippi;450374]
Единственное, что есть - это созданная на DVD-диске сразу после покупки компьютера бэкап-копия...[/QUOTE]Поищите файл на диске.

Карантин получен?

Сделала новые логи:

c:\windows\system32\braviax.exe - [B]Trojan-Downloader.Win32.FraudLoad.fgk[/B]
C:\WINDOWS\system32\Drivers\Ntfs.sys - [B]Virus.Win32.Protector.c[/B]

1. Пофиксить в HiJack
[code] O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O4 - HKLM\..\Run: [PC Antispyware 2010] "C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe" /hide
O4 - HKLM\..\Run: [braviax] braviax.exe
O20 - AppInit_DLLs: cru629.dat
[/code]

2. Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\cru629.dat','');
QuarantineFile('C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Beep.sys','');
TerminateProcessByName('c:\windows\system32\braviax.exe');
QuarantineFile('c:\windows\system32\braviax.exe','');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe');
DeleteFile('C:\WINDOWS\system32\cru629.dat');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFileMask('C:\Program Files\PC_Antispyware2010', '*.*', true);
DeleteDirectory('C:\Program Files\PC_Antispyware2010');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

3. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

4. [B]C:\WINDOWS\system32\Drivers\Beep.sys[/B] заменить по [URL="http://virusinfo.info/showthread.php?t=51654"]такой методике[/URL]

5. Сделайте новые логи

Карантин выслала.

А хороший beep.sys мне совершенно негде взять... :(

[size="1"][color="#666686"][B][I]Добавлено через 26 минут[/I][/B][/color][/size]

Да, и еще: между пунктами 1. Пофиксить... и 2. Выполнить скрипт в AVZ
я компьютер перезагрузила.
Теперь сомневаюсь, надо ли было это делать?

Сделайте логи, там видно будет.

Сделала логи..

Пофиксить в HiJack
[code] O20 - AppInit_DLLs: cru629.dat
[/code]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\braviax.exe');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Beep.SYS');
DeleteFile('C:\WINDOWS\system32\cru629.dat');
ExecuteSysClean;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

Новые логи:

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Обновите базы АВЗ: (Файл/Обновление баз)
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKLM\..\Run: [braviax] braviax.exe
O20 - AppInit_DLLs: cru629.dat
[/CODE]
-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\braviax.exe');
DeleteFile('c:\windows\braviax.exe');
DeleteFile('C:\WINDOWS\cru629.dat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

Сделала.
После выполнения "фиксенья" и скрипта симптомы изменились: теперь вместо красного кружка "computer infected" после перезагрузки мастер нового оборудования.

Да, еще вопрос: на C:\i386 я нашла файл beep.sy_ - можно ли им воспользоваться для замены зараженного?

Зараженный beep.sys уже удален, увы

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\_scui.cpl','');
DeleteFile('C:\WINDOWS\system32\_scui.cpl');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новый лог virusinfo_syscheck.zip

готово

Чисто

Неизвестное оборудование удалите в [B]Диспетчере устройств[/B]

Выполнить скрипт
[code] begin
SetAVZPMStatus(False);
ExecuteStdScr(6);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8
Установите Adobe Acrobat 9.1.3 или удалите старый

Спасибо!... Неизвестное оборудование удалила, скрипт выполнила.
Единственное, что теперь смущает: пока лечился компьютер, упорно ставилась домашняя страница google com. Теперь, при каждой моей попытке сменить дом.страницу вылезает сообщение от Нортон антивирус, что он "has blocked attempts to change your home page" :?

Выполнить скрипт
[code] begin
ExecuteRepair(3);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Стартовая страница изменилась?

Да, теперь открывается уже нормально, а не с google. А вот когда я затем сама меняю дом.страницу на какую-нибудь другую, вылезает "home page protection alert". Раньше (до вируса) такого не наблюдалось.

И еще: я пока ждала ответа, запустила полное сканирование компьютера Нортоном, и вдруг начали вылезать вирусные угрозы - целый список Packed.Generic.233. Что это? (сканирование пока остановила)

Перекрёстная проверка: прогоните свежим CureIt. Два - три файла из подозреваемых Нортоном проверьте на [url]http://www.virustotal.com/[/url], ссылки на результаты здесь приведите.

проверила

[URL]http://www.virustotal.com/ru/analisis/287a5bbcb54c95451a6126b1b2c95198db475d80fda253d5437be80c090dda2b-1248013476[/URL]
[URL]http://www.virustotal.com/ru/analisis/55775a3d35c027aa985c7c550d99188fc5cf72060d234d2c63064932d5ec7603-1250792660[/URL]
[URL]http://www.virustotal.com/ru/analisis/541992d5dd28c9913a9863f1f416ea0fb81f2620bb780c899b98dbb574f47677-1250691169[/URL]

[URL]http://www.virustotal.com/ru/analisis/693a06939b0e72e7f5591a3960d069d6fcb0ed412a9f195c7cbbec211f58b5c6-1250791921[/URL]

Делайте новые логи + отчет утилиты GSI

[SIZE=2][URL]http://www.getsysteminfo.com/read.php?file=bb5ba5499479a35e4fa078332458476d[/URL][/SIZE]

Укажите полный путь к файлам, на которые ругается антивирус

Вот это делали?
[QUOTE='pig;451551']Перекрёстная проверка: прогоните свежим CureIt.[/QUOTE]

[QUOTE=thyrex;453019]Укажите полный путь к файлам, на которые ругается антивирус
[/QUOTE]

сделала проверку еще раз

CureIt ругается на:
сделала проверку еще раз

CureIt ругается на:
C:\Documents and Settings\All Users\Application Data\Symantec\Norton AntiVirus\Quarantine\.... (куча файлов из карантина)
C:\Documents and Settings\Ekaterina\Рабочий стол\X54S\X54S\Infected\2009-08-18\avz00001.dta
C:\Documents and Settings\LocalService\Temporary Internet Files\Content.IE5\H0S2LME6\Install[2].exe
C:\Program Files\BWMeter\Service.exe
C:\RECYCLER\S-1-5-21-2083287474-2900761999-1979824894-1006\Dc313\2009-08-17\avz00001.dta
C:\WINDOWS\system32\dllcache\ntfs.sys
(лечит, удаляет, перемещает)

После этого Нортон ругается на

C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\Internet Explorer
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\cd burning
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\credentials
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\feeds
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\feeds cache\....
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\helpctr
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\messenger\brands\en-us
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\messenger\ekaterina.....@...\object store\...
C:\Documents and Settings\All Users\Application Data\TEMP
C:\Documents and Settings\Ekaterina\Local Settings\Temp

[QUOTE=Pippi;453847]
C:\Documents and Settings\All Users\Application Data\Symantec\Norton AntiVirus\Quarantine\.... (куча файлов из карантина)[/QUOTE]Очистите карантин Нортона
[QUOTE]C:\Documents and Settings\Ekaterina\Рабочий стол\X54S\X54S\Infected\2009-08-18\avz00001.dta[/QUOTE]Очистите карантин АВЗ
[QUOTE]C:\Documents and Settings\LocalService\Temporary Internet Files\Content.IE5\H0S2LME6\Install[2].exe
C:\RECYCLER\S-1-5-21-2083287474-2900761999-1979824894-1006\Dc313\2009-08-17\avz00001.dta
C:\Documents and Settings\All Users\Application Data\TEMP
C:\Documents and Settings\Ekaterina\Local Settings\Temp[/QUOTE]
[url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
[QUOTE]C:\Program Files\BWMeter\Service.exe
C:\WINDOWS\system32\dllcache\ntfs.sys[/QUOTE]
эти 2 файла пришлите по правилам.

[QUOTE]После этого Нортон ругается на[/QUOTE]на что конкретно ругается Нортон не очень понятно: в Вашем списке ни одного файла не видно.

Очистила.

Файлы:
C:\Program Files\BWMeter\Service.exe - никакими способами в AVZ не нашелся (антивирус его удалил?)

C:\WINDOWS\system32\dllcache\ntfs.sys - нашелся, но при копировании в карантин - ничего не копируется, при просмотре карантина - пустое окошко.

А насчет файлов в Нортоне мне самой непонятно. При сканировании Нортон выдавал такой отчет:

Source: Manual Scanner
[B]Risk category: [/B]Virus
Click for more information about this risk : [URL="http://securityresponse.symantec.com/avcenter/cgi-bin/virauto.cgi?vid=25464"][U][COLOR=#0000ff]Trojan Horse[/COLOR][/U][/URL]
[B]Action taken: [/B]Delete failed
[B]Description: [/B]Affected areas:
1 Files:
C:\WINDOWS\Temp\BNB9.tmp - Delete failed


[FONT=Verdana](и еще несколько файлов [/FONT]tmp - из той же папки)


[B]Source: [/B]Manual Scanner
[B]Risk category: [/B]Virus
Click for more information about this risk : [URL="http://securityresponse.symantec.com/avcenter/cgi-bin/virauto.cgi?vid=39813"][U][COLOR=#0000ff]Packed.Generic.233[/COLOR][/U][/URL]
[B]Action taken: [/B]Delete failed
[B]Description: [/B]Affected areas:
83 Files:
C:\WINDOWS\Temp\BNB.tmp - Delete failed
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft\Internet Explorer - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\cd burning - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\credentials\s-1-5-21-2083287474-2900761999-1979824894-1006 - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\credentials - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\feeds - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\feeds cache\3zoiiy3q - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\feeds cache\f5uy776k - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\feeds cache\k8tdpshe - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\feeds cache\qf1ylo2o - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\feeds cache - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\helpctr - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\internet explorer - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\media player\Кэш файлов графики\localmls - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\media player\Кэш файлов графики - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\media player - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\brands\en-us - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\brands - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\backgrounds - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\customemoticons - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\dynamicbackgrounds - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\scenes - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\signaturesounds - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\usertile - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\winks3 - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\sharing folders\[email protected] - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\sharing folders - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\sharingmetadata\[email protected] - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\sharingmetadata\logs - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\sharingmetadata\working\database_32ec_1282_ec12_4091 - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\sharingmetadata\working - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\sharingmetadata - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\socialnews - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected] - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\backgrounds - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\customemoticons - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\dynamicbackgrounds - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\scenes - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\usertile - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore\winks3 - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\objectstore - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected]\socialnews - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger\[email protected] - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\messenger - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\portable devices - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\search enhancement pack\search box extension - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\search enhancement pack - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\[email protected]\real - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\[email protected]\shadow - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\[email protected] - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\[email protected]\real - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\[email protected] - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{55869538-bf9c-4498-ba98-61ba31a19d3b}\dbstore\backup\new - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{55869538-bf9c-4498-ba98-61ba31a19d3b}\dbstore\backup - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{55869538-bf9c-4498-ba98-61ba31a19d3b}\dbstore\logfiles - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{55869538-bf9c-4498-ba98-61ba31a19d3b}\dbstore - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{55869538-bf9c-4498-ba98-61ba31a19d3b} - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{76e8b884-04ed-42be-a42c-39cbe4c07cf7}\dbstore\backup\new - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{76e8b884-04ed-42be-a42c-39cbe4c07cf7}\dbstore\backup - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{76e8b884-04ed-42be-a42c-39cbe4c07cf7}\dbstore\logfiles - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{76e8b884-04ed-42be-a42c-39cbe4c07cf7}\dbstore - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{76e8b884-04ed-42be-a42c-39cbe4c07cf7} - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{a665ac15-3e17-47e6-8478-af4bc466a417}\dbstore\backup\new - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{a665ac15-3e17-47e6-8478-af4bc466a417}\dbstore\backup - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{a665ac15-3e17-47e6-8478-af4bc466a417}\dbstore\logfiles - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{a665ac15-3e17-47e6-8478-af4bc466a417}\dbstore - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{a665ac15-3e17-47e6-8478-af4bc466a417} - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{abe1e73f-cc64-44ef-b447-2b207c3dd122}\dbstore\backup\new - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{abe1e73f-cc64-44ef-b447-2b207c3dd122}\dbstore\backup - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{abe1e73f-cc64-44ef-b447-2b207c3dd122}\dbstore\logfiles - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{abe1e73f-cc64-44ef-b447-2b207c3dd122}\dbstore - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts\{abe1e73f-cc64-44ef-b447-2b207c3dd122} - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live contacts - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows live photo gallery - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows media\11.0 - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows media\9.0 - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows media - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows photo gallery\original images - No action taken
c:\documents and settings\ekaterina\local settings\application data\microsoft\windows photo gallery - No action taken
C:\Documents and Settings\Ekaterina\Local Settings\Application Data\Microsoft - No action taken
C:\Documents and Settings\All Users\Application Data\TEMP - No action taken

1 Additional areas:
Unknown - No action taken

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
- Скачайте последнюю версию АВЗ 4.32 по ссылке в правилах.
- Обновите базы АВЗ: (Файл/Обновление баз)

-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask('%temp%','*.*',true);
DeleteFileMask('%windir%\temp','*.*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

После выполнения скрипта обнаружилсь новое обор. (пока не удаляла)
Очистила корзину, и остальное - с помощью AVZ и CCleaner.

[QUOTE=Pippi;454007]После выполнения скрипта обнаружилсь новое обор.
[/QUOTE]Его нужно удал. 8)

В логах ничего подозрительного.

[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)[/QUOTE]
- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить [B][COLOR="Red"]все защитные приложения[/COLOR][/B] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
[QUOTE]MSIE: Internet Explorer v7.00 (7.00.6000.16876)[/QUOTE]
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/URL].

Если после установки обновлений проблема не решится - пишите.

Всё установила, сделала проверку: CureIt теперь ни на что не ругается. А Нортон - ругается все так же и на то же. Может, это с Нортоном что-то не так?..>:( :D

[QUOTE=Pippi;454616]Может, это с Нортоном что-то не так?..>:( :D[/QUOTE]
Да нет, Нортон не такой, чтобы ложняками сыпать.
- Пролечитесь от файловых вирусов: [url]http://virusinfo.info/showthread.php?t=15927[/url]
потом:
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]

Полечила с помощью Live CD Vba32 Rescue. Нашелся 1 вирус и 2 файла, но папки VbaRescue (с отчетом и карантином) на компьютере почему-то не обнаружилось.
GMER лог:

Лог gmer без подозрительных записей.
Еще такой лог сделайте: [URL="http://majorgeeks.com/download.php?det=5756"]Malwarebytes Anti-Malware[/URL]

Вот, сделала лог, обнаружилось 14 объектов
(кстати, Нортон уже не ругается)

Вот это нужно исправлять
[CODE]Заражено значений реестра:
HKEY_CURRENT_USER\Control Panel\don't load\scui.cpl (Hijack.SecurityCenter) -> No action taken.
HKEY_CURRENT_USER\Control Panel\don't load\wscui.cpl (Hijack.SecurityCenter) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\ForceClassicControlPanel (Hijack.ControlPanelStyle) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\braviax (Trojan.Downloader) -> No action taken.


Заражено файлов:
C:\WINDOWS\system32\delself.bat (Malware.Trace) -> No action taken.
C:\Documents and Settings\Ekaterina\delself.bat (Malware.Trace) -> No action taken.
C:\Documents and Settings\Ekaterina\oashdihasidhasuidhiasdhiashdiuasdhasd (Trace.Pandex) -> No action taken.
C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd (Trace.Pandex) -> No action taken.[/CODE]

Если сами не отключали уведомления Центра обеспечения безопасности, то и это требует исправления
[CODE]Заражено параметров реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.[/CODE]

Сделать это можно следующим образом: выберите [b]Perform Full Scan[/b] (Провести полную проверку), нажмите [b]Scan[/b] (Проверить), после сканирования выберите [b]Ок[/b] и далее [b]Show Results[/b] (Показать результаты), нажмите [b]Remove Selected[/b] (удалить выделенные, внимание - проверьте то, что удаляете). [b]После[/b] удаления откройте лог и скопируйте в сообщение.

[QUOTE]
Созданное вами сообщение .... было удалено:
Причина:[B][COLOR=red] логи нужно прикреплять к сообщениям, а не постить [/COLOR][/B]
[/QUOTE]

согласна, правила читала. Но в данном случае я выполняла вот это указание:

[QUOTE=thyrex;456132]
.....
[B]После[/B] удаления откройте лог и скопируйте в сообщение.[/QUOTE]

прошу прощения, но для меня "открыть лог и скопировать в сообщение" это не то же самое, что "прикрепить лог". :unknw:

p.s. прикрепить лог смогу только вечером...

Тот же лог не надо. Сделайте новый. А так, судя по логу, который вы выложили, все ок.

Сделала новый - нашлось вот это опять (см. лог)
(проверку делала с отключенным Нортоном). Удалила. При следующей проверке - опять то же самое. Еще раз удалила. Еще раз проверила, но уже со включенным Нортоном - на этот раз ничего не нашлось.

Такое содержимое лога являлось следствием отключенного антивируса.
Поэтому лог чист.