Самопроизвольно открываются окна браузера.

Доброго времени суток!

При моей попытке зайти на сайт [URL="http://asta-killer.com/"]http://asta-killer.com/[/URL] мне было предложено установить некие "add-on". Машинально дал согласие. В результате:
[LIST=1][*]В панеле задач появились неудаляемая пустая панелька инструментов и дополнительные панели "Quick Lanch", дублирующие панель быстрого запуска.[*]Самопроизвольно через неопределенные промежуткие времени открываются новые окна браузера с 2-мя или 3-мя различными страничками.[/LIST]DrWeber, AdAware, SpyBot и AVZ4 решить полностью проблему не смогли. Что-то они находили и лечили, что-то я удалил вручную, но основное - самопроизвольно открывающиеся окна - осталось.

Полгода назад в одном отделе случилась практически аналогичная ситуация. Тоже загрузка "add-on" с одного из сайтов и в результате дополнительные незакрываемые панели инструментов в панеле задач и в браузере, которые с трудом удалил вручную, открывающиеся окна браузера с рекламой анти-рекламного ПО (правда, другого), непонятно как запущенная программа в трее, периодически сообщающая, что компьютер заражен и нужно срочно приобрести это ПО. Тогда пришлось переустанавливать систему. Сейчас этого делать не хочется, потому как все это произшло на BDC.

Прошу помочь выявить, где прячется эта зараза ..., чтобы ее удалить с наименьшим ущербом.

ОС: Win2K Server + SP4.

Прислать как указанно в правилах файлы:

C:\WINNT\system32\stisvc.exe
C:\WINNT\system32\ntfrs.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\wins.exe
C:\WINNT\Anvshell.exe
C:\WINNT\system32\rdpclip.exe
C:\dfndrc_4a.exe
C:\WINNT\system32\fpn8035ue.dll
C:\WINNT\SYSTEM32\igfxsrvc.dll
ctxnotif.dll
C:\WINNT\SYSTEM32\winnum32.dll
C:\WINNT\system32\mrjint40.dll
C:\WINNT\system32\drivers\EIO.sys
C:\WINNT\system32\dxuiext.dll
cpmmon.dll

del.exe 1.job The task has not yet run.
C:\Scheduler\2.bat 2.job The task will not run at the scheduled times because it has been disabled.

hosts файл почистить.

C asta-killer.com выдается полный комплект Adware.Dollarrevenue, включая и Look2me.

там больше 20 вирей Ж)

[quote=Sanja]Прислать как указанно в правилах файлы:...[/quote]
Не могу добавить все эти файлы в карантин. Из всего списка добавляются только:
[INDENT]C:\WINNT\Anvshell.exe
C:\dfndrc_4a.exe
C:\WINNT\SYSTEM32\winnum32.dll
C:\WINNT\system32\drivers\EIO.sys
C:\WINNT\system32\dxuiext.dll[/INDENT]Остальные не добавляются ни в режиме автодобавления, ни в режиме добавления по списку. Пробывал и в консольном режиме и в терминальном, по своей учетке и через учетку коллеги - результат одинаков. Никакие особые атрибуты этим файлам не назначены. Читаются нормально.

Можно ли выслать указанные файлы "as is" (разумеется, заархивировав) или набрать карантин вручную?

[QUOTE=GrAnd]Не могу добавить все эти файлы в карантин. Из всего списка добавляются только:
[INDENT]C:\WINNT\Anvshell.exe
C:\dfndrc_4a.exe
C:\WINNT\SYSTEM32\winnum32.dll
C:\WINNT\system32\drivers\EIO.sys
C:\WINNT\system32\dxuiext.dll[/INDENT]Остальные не добавляются ни в режиме автодобавления, ни в режиме добавления по списку. Пробывал и в консольном режиме и в терминальном, по своей учетке и через учетку коллеги - результат одинаков. Никакие особые атрибуты этим файлам не назначены. Читаются нормально.

Можно ли выслать указанные файлы "as is" (разумеется, заархивировав) или набрать карантин вручную?[/QUOTE]
Тогда нужно сделать так:
1. Прислать то что добавилось
2. Обновить базы AVZ и пролечить ПК. Обновленная база позволит поубивать большую часть заразы, которая заползает с указанного в начале обсуждения сайта. При этом
2.1 перед лечением AVZ нужно включить AVZ Guard
2.2 Зайти в менеджер автозапуска, там в разделе Winlogon отключить элемент winnum32.dll
2.3 перезагрузиться, не выключая AVZ Guard
3. После перезагрузки на шаге 2 нужно повторно сделать логи - посмотрим, что выживет и продолжим ...

Олег, вроде ты писал драйвер прямого доступа к диску. Может использовать его для копирования залоченных файлов?

[quote=Зайцев Олег]Тогда нужно сделать так:
1. Прислать то что добавилось
2. Обновить базы AVZ и пролечить ПК. Обновленная база позволит поубивать большую часть заразы, которая заползает с указанного в начале обсуждения сайта. При этом
2.1 перед лечением AVZ нужно включить AVZ Guard
...[/quote]
1. Что смог, то выслал.
2. Обновил ...
2.1. При попытке включения AVZ Guard выдает сообщение "Ошибка активации AVZ Guard !". При попытке повторного запуска в протокол записывается "Ошибка AVZ Guard: C0000160". После чего перестают запускатся программы (даже диспетчер задач). Уже запущенные программы продолжают работать нормально.

C:\dfndrc_4a.exe - инфицирован Trojan.Click.1274 (DrWeb)
C:\WINNT\SYSTEM32\winnum32.dll Trojan.Spy.Agent.HQ (BitDefender), Packed.Win32.Klone.g (Kaspersky)
C:\WINNT\system32\dxuiext.dll - программа-AdWare Adware.Look2me

а что, антивируса никакого нет?

[quote=Geser]а что, антивируса никакого нет?[/quote]
См выше:
[QUOTE]DrWeber, AdAware, SpyBot и AVZ4 решить полностью проблему не смогли. Что-то они находили и лечили, что-то я удалил вручную, но основное - самопроизвольно открывающиеся окна - осталось.[/QUOTE]
Эти вирусы и трояны я уже отключал в менеджере автозагрузки (расширение эксплорера dxuiext.dll удалил из реестра, ибо не нашел как его отключить по другому).
Бесполезно ...
Все равно окна продолжают загружаться!!!

Попробуйте удалить Look2Me одним из метдов:
[url]http://virusinfo.info/showthread.php?t=4481[/url]

Удалите файлы через AVZ:
C:\WINNT\SYSTEM32\winnum32.dll
C:\dfndrc_4a.exe
И повторите логи по пунктам Правил 10-13.

Удалил ... Повторил ... Высылаю ...

Антивирусный монитор должен быть запущен. Иначе можно лечить до посинения. ДрВеб убивает Look2Me если монитор работает и переведён в режим проверки файлов при доступе.

[quote=Geser]Антивирусный монитор должен быть запущен.[/quote]
Какой монитор имеется в виду?

[quote=GrAnd]Удалил ... Повторил ... Высылаю ...[/quote]
пофиксите в HijackThis:

O16 - DPF: {00000000-0000-0000-0000-100005000004} - [URL="http://code.jcash.biz/l/3f0df35802127fb481a1b48b86abb0c4_13.exe"]http://code.jcash.biz/l/3f0df35802127fb481a1b48b86abb0c4_13.exe[/URL]
O16 - DPF: {44FD0AF8-9D30-4E96-8ECE-306446B5E0D3} - [URL="http://205.209.177.231/catalog/tbmon.cab"]http://205.209.177.231/catalog/tbmon.cab[/URL]
O16 - DPF: {D7BF3304-138B-4DD5-86EE-491BB6A2286C} - [URL="http://www.azebar.com/install/azesearch.cab"]http://www.azebar.com/install/azesearch.cab[/URL]
O20 - Winlogon Notify: Controls Folder - C:\WINNT\
O20 - Winlogon Notify: MetaFrame - ctxnotif.dll (file missing)
O20 - Winlogon Notify: Shell Extensions - C:\WINNT\
O20 - Winlogon Notify: ShellServiceObjectDelayLoad- - C:\WINNT\system32\evsadu.dll
O20 - Winlogon Notify: winnum32 - C:\WINNT\
O20 - Winlogon Notify: winnum32- - winnum32.dll (file missing)
O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)

файл MMTray.exe прислать на изучение

[QUOTE=GrAnd]Какой монитор имеется в виду?[/QUOTE]
Вы писали что у Вас ДрВеб. Вот он и имеется в виду.

[quote=Geser]Вы писали что у Вас ДрВеб. Вот он и имеется в виду.[/quote]
У меня получилось избавиться от этого L2M без установленного монитора. ПальцАми давил гада. Он сопротивлялся, но потом устал.
Вобщем, сначала в реестре удалил {CLSID} со ссылками на зараженные файлы. Потом сканером DrWeber проверил директорию WINNT\System32 и все зараженные удалил из нее. В заключение в реестре почистил ссылки на отсутствующие {CLSID} в ключе расширений эксплорера.

Все удалилось ... Этого вируса больше в системе нет ... Но окна все равно открываются!!! >:(

[B]2 MOCT[/B]: Выслать MMTray.exe не могу. Это только следы в реестре в ключе автозапуска. Видимо, его удалила какая-то антивирусная программа раньше ...

[QUOTE=AndreyKa]C:\WINNT\SYSTEM32\winnum32.dll Trojan.Spy.Agent.HQ (BitDefender), Packed.Win32.Klone.g (Kaspersky)[/QUOTE]
Trojan.Mezzia - (DrWeb)

[QUOTE=GrAnd]У меня получилось избавиться от этого L2M без установленного монитора. ПальцАми давил гада. Он сопротивлялся, но потом устал.
[/QUOTE]
Получилось говоришь? А это что?
C:\WINNT\system32\evsadu.dll
C:\WINNT\system32\iminstall.dll

[QUOTE=GrAnd]У меня получилось избавиться от этого L2M без установленного монитора. ПальцАми давил гада. Он сопротивлялся, но потом устал.
[/QUOTE]
пальцами можно только тараканов давить, а вот L2M это покруче будет

[QUOTE=GrAnd]
[B]2 MOCT[/B]: Выслать MMTray.exe не могу. Это только следы в реестре в ключе автозапуска. Видимо, его удалила какая-то антивирусная программа раньше ...[/QUOTE]
значит надо удалить ключи из реестра, чтобы они нас не смущали

[quote=Geser]Получилось говоришь? А это что?
C:\WINNT\system32\evsadu.dll
C:\WINNT\system32\iminstall.dll[/quote]
Это было еще до того, как получилось :) ... Просто протоколы AVZ не успевают за моими действиями ;) .

Вобщем, кажется я его нашел ... или что-то очень похожее.
Менеджер автозапуска в разделе WinLogon показывает следующий элемент: C:\WINNT\system32\r4r6le9s1h.dll. Файл заблокирован. Не могу его даже скопировать. Удалить из реестра запись не получается - самовосстанавливается. Пытался заменить права доступа для SYSTEM - установить запрет на создание подразделов разделов Notify - тоже не прокатило. Эта зараза действует от имени SYSTEM и заменяет права доступа на полный доступ. Попытался сделать такой запрет на более высоком уровне (в разделе Software) - все равно не дало результата. Хоть права доступа с этого раздела на дочерние переносятся, но эта зараза просто создает дополнительно в добавку к переносимым еще и локальные полные права.

Вобщем, пока в тупике. Как почистить реестр не знаю. Как удалить контролирующий процесс, запущенный через WinLogon тоже не имею понятия.
Разве что попытаться подключить диск к другой машинке и удалить этот файл. Но этого делать ой как не хочется ... Или через консоль восстановления попробывать?

Просто нужно нас слушать, всё бы давно уже было удалено. ЕСли используется ДрВеб то нужно включить его минитор и изменить режим работы на проверку при доступе. Если нет, то скачать КАВ6, установить и почистить им.

вышлите этот файл как описано в правилах..

[quote=Geser]Просто нужно нас слушать, всё бы давно уже было удалено. ЕСли используется ДрВеб то нужно включить его минитор и изменить режим работы на проверку при доступе. Если нет, то скачать КАВ6, установить и почистить им.[/quote]
А я всегда слушаю опытных. Потому что "опыт сын ошибок трудных". А учиться на чужих ошибках несоизмеримо приятнее.
Да нет у меня монитора у DrWeber. Лицензию покупали без монитора - только на сканер. Мне, вообще, больше всего его консольный сканер нравится. Его прекрасно можно прикрутить к другим программам, для обработки проходящих файлов.
Только я сомневаюсь, что он сильно бы мне сейчас помог.
Дело в том, что этот стремный файл, похоже, не единственная компонента вируса. Я для эксперимента отключил менеджером автозапуска все программы из автозагрузки (кроме системных userinit.exe и explorer.exe) и из WinLogon (ту стремную неотключаемую dll удалил через консоль восстановления). И перезагрузился. Ну и что ... В WinLogon опять появилась неучтожимая dll. теперь под именем WJNSRV.DLL. Она меняет имена, при этом иногда маскируясь под легальные сервисы.

Так что, ее я сейчас вышлю, только пока не обнаружу, кто на самом деле контролирует реестр и восстанавливает ключи права и эту самую dll, дела не будет. А как это сделать - не понимаю. Уже все поотключал, но ведь кто-то остался.

Похожая ситуация случилась более полутора лет назад. Тоже 2 процесса контролировали друг друга и реестр. Только тогда это было на Win98SE. Оба процесса были прописаны в ключе Run. В безопасном режиме вычистить реестр было очень легко. Здесь же безопасный режим не помагает. Даже придумать не могу, когда грузится контролирующий процесс, к чему он прицепился.

Короче, качайте [URL="http://d-ru-1h.kaspersky-labs.com/trial/registered/8NGILSWTCHAPVSJ1NTX8/kav6.0.0.300ru.exe"]КАВ[/URL] и лечиитесь

Немного слукавил ...

Если после всех указанных телодвижений (отключений автозагрузки, WinLogon, удаления левой библиотеки) загрузиться в безопасном режиме, то эта библиотека не восстанавливается и реестр не контролируется.

Только зачем мне сейчас этот безопасный режим нужен, если я не знаю, кто в "опасном" режиме этими бяками занимается ...

[QUOTE=GrAnd]
Так что, ее я сейчас вышлю, только пока не обнаружу, кто на самом деле контролирует реестр и восстанавливает ключи права и эту самую dll, дела не будет. А как это сделать - не понимаю. Уже все поотключал, но ведь кто-то остался.
[/QUOTE]
я не очень понял, для чего вы пишете свои сообщения.
есть два варианта - 1) вы хотите вылечиться от заразы и 2) вы хотите просто потрепаться.
пока не заметил ничего, что бы указывало на пункт номер 1.

после выполнения рекомендаций из [url]http://virusinfo.info/showthread.php?t=5824[/url] никаких Look2Me остаться не должно.

[QUOTE=MOCT]я не очень понял, для чего вы пишете свои сообщения.
есть два варианта - 1) вы хотите вылечиться от заразы и 2) вы хотите просто потрепаться.
пока не заметил ничего, что бы указывало на пункт номер 1.

после выполнения рекомендаций из [url]http://virusinfo.info/showthread.php?t=5824[/url] никаких Look2Me остаться не должно.[/QUOTE]
Уважаемый!
Если бы я не хотел вылечить комп, то не потратил бы на это дело уже почти 20 часов, и не писал бы сюда посты в надежде получить совет и помощь. А просто бы переустановил бы операционную систему. Поверьте пожалуйста, это потребовало бы меньше времени, сил и нервов.
Если у Вас возникло ощущение, что я только треплюсь, то смею уверить Вас, что это далеко не так. В конце концов мне была обещана помощь, которой я и вправе поэтому ожидать. До сих пор мне только уже который раз даются ссылки на лечение Look2Me. Да нет у меня этого Look2Me. Во всяком случае, ни DrWeber, ни AVZ уже его в системе больше не детектируют. Вылечил я его, похоже ...
Так что, если и есть что-то у меня, так это, в лучшем случае, его клон. В худшем - неизвестный науке зверь. Поэтому предложенный способ борьбы с ним редактированием реестра и не действовал.

Кстати, предложенным Вами способ чистки при помощи AVZGuard я воспользоваться не могу. Если Вы внимательно читали мои посты, то видели, что я жаловался на то, что при попытке его запуска выдается сообщение об ошибке активации, после чего перестают запускаться прочие программы. И никто даже не подсказал, в чем может быть причина.
Вместо этого я провел удаление подозрительных файлов из режима консоли восстановления. Пока это сработало. Загрузка в безопасном режиме стала чистой. Но нет уверенности, что она такой и останется. По всей видимости, я опять столкнулся с [B]многокомпонентным[/B] вирусом, каждая часть которого контролирует и восстанавливает работу остальных частей.

Так что, по прежднему надеюсь на Вашу помощь. А тем временем предпринимаю собственные шаги по выявлению всех компонент.

[quote=GrAnd]Если у Вас возникло ощущение, что я только треплюсь, то смею уверить Вас, что это далеко не так. В конце концов мне была обещана помощь, которой я и вправе поэтому ожидать. До сих пор мне только уже который раз даются ссылки на лечение Look2Me. Да нет у меня этого Look2Me. Во всяком случае, ни DrWeber, ни AVZ уже его в системе больше не детектируют. Вылечил я его, похоже ...
[/quote]
L2M вылечить вручную невозможно, так что можете продолжать тешить себя мыслью, что вы его удалили

[quote=GrAnd]
Так что, если и есть что-то у меня, так это, в лучшем случае, его клон. В худшем - неизвестный науке зверь. Поэтому предложенный способ борьбы с ним редактированием реестра и не действовал.
[/quote]
предложенные методы действуют для любых модификаций и аналогов L2M

[quote=GrAnd]
Кстати, предложенным Вами способ чистки при помощи AVZGuard я воспользоваться не могу. Если Вы внимательно читали мои посты, то видели, что я жаловался на то, что при попытке его запуска выдается сообщение об ошибке активации, после чего перестают запускаться прочие программы. И никто даже не подсказал, в чем может быть причина.
[/quote]
AVZGuard и предназначен для блокирования запуска любых посторонних программ. так что это не баг, а фича.
скриншота "ошибки активации" вы нам не присылали, так что для нас это все неочевидно и виртуально.
присылайте скриншоты и логи - будем разбираться.

[quote=GrAnd]
По всей видимости, я опять столкнулся с [B]многокомпонентным[/B] вирусом, каждая часть которого контролирует и восстанавливает работу остальных частей.
[/quote]
это НЕ вирус

[quote]По всей видимости, я опять столкнулся с многокомпонентным вирусом, каждая часть которого контролирует и восстанавливает работу остальных частей.[/quote]
Так оно и есть:
[url]http://www.viruslist.com/ru/viruses/encyclopedia?virusid=75772[/url]

Возможно у вас действительно новая разновидность Look2Me. Поэтому нужно еще раз повторить логи по пунктам Правил 10-13.

[quote]...провел удаление подозрительных файлов из режима консоли восстановления[/quote]
Надеюсь, те подозрительные файлы которые вы удаляли это C:\WINNT\system32\guard.tmp и dll-файлы из C:\WINNT\system32, созданные вчера-сегодня?

[quote=AndreyKa]Так оно и есть:
[URL="http://www.viruslist.com/ru/viruses/encyclopedia?virusid=75772"]http://www.viruslist.com/ru/viruses/encyclopedia?virusid=75772[/URL]
[/quote]
ну НЕ вирус это, НЕ вирус!!!
там даже так и написано: not-a-virus:AdWare.Look2Me.ab

[QUOTE=AndreyKa]Так оно и есть:
[url]http://www.viruslist.com/ru/viruses/encyclopedia?virusid=75772[/url]

Возможно у вас действительно новая разновидность Look2Me.[/QUOTE]
Присланную вчера вечером dll, и DrWeb и KAV прекрасно детектируют как Look2Me, её даже AV от Microsoft знает...

Если с AVZ не получается, то используте DrWeb, KAV... но без активного антивирусного монитора переведённого в режим проверки запускаемых и создаваемых файлов Вы не сможете побороть его.

И ещё, не понятно выполнили Вы рекомендации данные в сообщении #16, если нет, то вам будут поставляться "самые свежие" экземпляры того что удаляете.

ps. Без адекватной реакции на предложенные методы лечения (т.е. выполнения рекомендованного и отчёта о проведённых операциях) реальная помощь врятли возможна.

Дрвеб детектит новую модификацию старой записью. Вот только удалить можно либо монитором в агрессивном режиме, либо новым сканером из беты, который с шилдом.

[QUOTE=Alexey P.] либо новым сканером из беты, который с шилдом.[/QUOTE]
Хм, можно поподробнее, что за бета такая(в новой теме :))?

Пока она в бетах, вроде рано говорить в новой теме :).
Авенджер смотрел ? Вот его аналог добавили к сканеру. Только работает без перезагрузки, прямо по ходу проверки. Установки не требует, точнее, сканер при запуске этот свой шилд ставит, потом убирает, т.е. может работать с шилдом в режиме CureIt-а (и в безопасном режиме). Правда, только под 2000/ХР.
И еще, кроме убиения, сканер умеет через этот драйвер читать недоступные файлы - нотифайеры, look2me и т.п.
(Убираешь шилд - в логе сканера read error. Возвращаешь на место - Adware.Look2me).

Cool :)

[quote=MOCT]L2M вылечить вручную невозможно, так что можете продолжать тешить себя мыслью, что вы его удалили[/quote]
Это смотря какие руки ... Насколько широко пальцы расстопырены. Если [B][I]не шире[/I][/B] ушей, то можно и попробывать. У меня, во всяком случае, получилось. Уже 4,5 часа ни одного всплывшего окна. Вроде бы даже сетевой трафик слегка уменьшился.
[quote=MOCT]предложенные методы действуют для любых модификаций и аналогов L2M[/quote]
Ну я же русским по белому написал, что эта шняга перехватывала управление реестром и восстанавливала не только ключи в HKLM\Software\Microsoft\Windows NT\CurrentVersion\WinLogon\Notify, но и изменяла права допуска учетной записи SYSTEM к этой ветви. Именно про это я писал, что данный способ не помог. Вы хотя бы внимательнее читайте.
[quote=MOCT]AVZGuard и предназначен для блокирования запуска любых посторонних программ. так что это не баг, а фича.
скриншота "ошибки активации" вы нам не присылали, так что для нас это все неочевидно и виртуально.
присылайте скриншоты и логи - будем разбираться.[/quote]
Хорошая фича, если после данной ошибки я уже не могу AVZGuard отключить. Только перезагрузкой. В меню остается доступным только первый пункт "Включить AVZGuard". Пункты "Запустить приложение как доверенное" и "Отключть AVZGuard" остаются неактивными.
Я действительно не высылал скриншоты и логи, потому что не знал, что это необходимо делать. Просто описал проблемму (см. выше по теме). Раз нужно, то скриншот прилагаю. Если нужны логи, то скажите, куда и какие высылать.
[quote=MOCT]это НЕ вирус[/quote]
Да пусть его не вирус. Формально, действительно, не вирус. Но больному все равно от чего умирать - от вируса СПИДа, холерного вибриона, палочки Коха или бледной спирохеты. Пусть это будет "not-a-virus:AdWare.Look2Me.ab" - мои личные отношения к нему нисколько от этого не потеплели.
Так что, не в словах счастье.

[quote=Shu_b]Присланную вчера вечером dll, и DrWeb и KAV прекрасно детектируют как Look2Me, её даже AV от Microsoft знает...[/quote]
Сегодня мой DrWeb тоже стал его детектировать. Еще вчера он этого еще не делал. Странно. Лицензионный. Обновления 2 раза в сутки.
[quote=Shu_b]Если с AVZ не получается, то используте DrWeb, KAV... но без активного антивирусного монитора переведённого в режим проверки запускаемых и создаваемых файлов Вы не сможете побороть его.[/quote]
Почему же? Очень даже поборол. Не сказал бы, что было легко, но все-таки ...
Если бы было побольше опыта, до достаточно было бы только редактора реестра и загрузочного реанимационного диска для запуска консоли восстановления. Или загрузочной дискеты с драйвером NTFS. Но такой у меня не было, поэтому пользовался установочным CD. Причем даже не для Win2K, а для XP.
Но это минимум. На самом деле AVZ и Total Commander тоже лишними не будут.
Примерные мои действия (сейчас уже не помню подробно, ибо начинал почти 2-е суток назад, действия не фиксировал):
[LIST=1][*]В ветви HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify найти ключи, содержащие в качестве значения параметра DLLName c именем dll размером около 230K и созданную в последнее время (распологаются в %WinRoot%\system32). Попытаться удалить эти разделы. Если они самовосстанавливаются, то это именно то, что ищем.
Вместо этого, если есть AVZ, то отключить с помощью менеджера автозагрузки все WinLogon. Нажать на кнопку обновления. Если какие-то элементы самопроизвольно включились, то это именно то, что надо.[*]Запомнить имена этих dll и с помощью TC или другого подходящего файл-менеджера снять атрибут "system". Но это не обязательно.[*]Найти подозрительные ссылки на {CLSID} в HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved и удалить их. Может быть подозрительными являются ссылки на {CLSID}, содержащие в ключе InprocServer32 имена тех самых файлов, но за это поручиться не могу. Скорее всего, там будут другие имена, не зря же эта шняга две свои копии держит. Лично я просто интуичил.[*]Удалить соответствующие {CLSID} в HKLM\SOFTWARE\Classes\CLSID.[*]Выключить компьютер и загрузить с загрузочного диска установки Win2K/XP. Войти в режим восстановления и запустить консоль восстановления.[*]Войти в директорию system32 и удалить найденные dll-файлы. Если системный атрибут не был снят, то можно вместо удаления их просто переименовать - так даже быстрее.[*]Перезагрузить компьютер в безопасном режиме и подчистить все хвосты - файлы, ключи реестра ... Все.[/LIST][quote=AndreyKa]Так оно и есть:
[URL="http://www.viruslist.com/ru/viruses/encyclopedia?virusid=75772"]http://www.viruslist.com/ru/viruses/...?virusid=75772[/URL]

Возможно у вас действительно новая разновидность Look2Me.[/quote]
Судя по данному описанию, ссылку на которую Вы мне дали, это действительно может быть другая разновидность. Насчет многокомпонентности это мне и померещиться могло - устал, начал делать ошибки, вот и принял свои страхи за реальность. Но вот {CLSID}, которые были у меня, действительно отличаются от приведенных в описании. Не помню их точно, но, кажется, они начинались с 62EB. Во всяком случае, за 3-ю и 4-ю цифру точно поручусь :) . Так что, либо это клон, штамм или новая разновидность, либо в описании ошиблись и он может создавать различные {CLSID}.
Кстати, моя шняга, в отличии от приведенного в описании, создавала в HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify не только раздел ModuleUsage, но 3 или 4 различных раздела. Помню только имя одного: Uninstall.

Вобщем, хорошо все, что хорошо заканчивается. Спасибо всем, кто помог мне советом и своими знаниями. Без этого я бы мог провозиться еще дольше.

[QUOTE=Alexey P.]Пока она в бетах, вроде рано говорить в новой теме :).
Авенджер смотрел ? Вот его аналог добавили к сканеру. Только работает без перезагрузки, прямо по ходу проверки. Установки не требует, точнее, сканер при запуске этот свой шилд ставит, потом убирает, т.е. может работать с шилдом в режиме CureIt-а (и в безопасном режиме). Правда, только под 2000/ХР.
И еще, кроме убиения, сканер умеет через этот драйвер читать недоступные файлы - нотифайеры, look2me и т.п.
(Убираешь шилд - в логе сканера read error. Возвращаешь на место - Adware.Look2me).[/QUOTE]
Последний раз Шилд лажался на л2м судя по бета форуму.. (ред-еррор) выдавал :(

А вобще - я уже писал - там много радости Ж) Совет вроде включите спайдера на проверку всего и перезагрузитесь приводит к пропаданию И-нета т.к спайдер реестр не чистит.