GetAccelerator - продолжается бой

Честно говоря сначала думал, что "дитё" поставил очередную приблуду, из тех что при установке игр помечаются по умолчанию маленькой галочкой..
Удалил из реестра раздел с упоминанием Get Accelerator, Avast удалял подозрительные файлы типа BM2.tmp из Windows/TEMP.. Окно с требованием SMS исчезло. Однако при выключении пишет "установить обновления" и если установить, окно возникает вновь. Еще раз Avast сделал вид, что удалил трояны. Окна акселератора нет, но firefox работает неадекватно, открывает пустые окна или открывает ссылки со второго клика, ругается на AC_RUnActiveContent.js.. Впечатление, что keyloger очень хочет обратить на себя внимание 8-)
Помогите плиз скриптом!
И все-таки как это дело попало на комп?

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

В HiJackThis пофиксите:

[code]
R3 - URLSearchHook: (no name) - - (no file)
O3 - Toolbar: QT Breadcrumbs Address Bar - {af83e43c-dd2b-4787-826b-31b17dee52ed} - mscoree.dll (file missing)

[/code]


В AVZ выполните скрипт(дождитесь завершения выполнения):

[code]
begin
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\av_md.exe');
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
Sleep(180);
QuarantineFile('C:\ETKA\PROG\star_prn.pif','');
QuarantineFile('C:\SYSTEM\logo-lex-pex.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\av_md.exe','');
QuarantineFile('E:\TEMP\KSSWare Extended IP Filter & Monitor is 2.6.2803\IPFilter_x86.sys','');
QuarantineFile('C:\Program Files\LoviVkontakte\VkontakteService.exe','');
QuarantineFile('c:\program files\topro\tp6810\tppoll10.exe','');
QuarantineFile('c:\windows\system32\av_md.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
DeleteFile('c:\windows\system32\av_md.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\Documents and Settings\Администратор\av_md.exe');
DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\siszyd32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','av_md');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',3,3,true);
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

Ночью поработал kaspersky virus removal tool:
нашел Backdoorw32HareBot.alo и TrojanWin32.Inject.alxu
удалил ..[FONT=monospace]\system32\av-md.exe
вот что получилось - прикрепил
надо ли выполнять теперь ваш скрипт?
[/FONT]

Запустите утилиту в аттаче get.zip,ПК перезагрузится. Повторите логи.

сделано
вот

Активируйте AVZGuard: [B]AVZGuard -> включить AVZGuard.[/B]
Подождите 3 минуты и выполните перезагрузку, не отключая AVZGuard.

После перезагрузки выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\av_md.exe','');
DeleteFile('C:\Documents and Settings\Администратор\av_md.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','av_md');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','av_md');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

скрипт выполнил
но av_md уже нигде не виден.. его прибил kaspersky virus removal tool
drWebCureIt нашел еще 6 троянов
но проблемы остаются при включении интернета
- появляются скрытые драйверы со случайным названием типа ijaerlai.sys iuyuqjai.sys dkiibjea.sys..и
- __70.103.101.103\aekgoprn.dll (в карантин не кладется)
- просит установить обновления при выключении

чего-то я запутался уже, поясните плиз с чем мы сейчас боремся?
может уже восстановить раздел из копии (майской к сожалению)? но не уверен уже, что там чисто...

Акселератора не видно. Выполните фиксы в hjt из сообщения #2.
В AVZ выполните скрипт
[CODE]
begin
ExecuteWizard('TSW',3,3,true);
end.
[/CODE]
обновите java, acrobat(abobe) reader.
Лог virusinfo_syscure.zip нужно было делать отключившись от интернета и выгрузив все приложения. Это сделано не было.
сделайте лог [url=http://virusinfo.info/showthread.php?t=40118]Gmer[/url]

выполнил последние рекомендации, вроде чисто
Gmer прошел до конца, до этого вылетал в BSOD 0x0..BE ffecqpob.sys,
боюсь, если установить обновления при выключении, все повториться..

acrobat reader - обновлений нет
java стояла последняя 07.12.09

выключить с установкой обновлений?

Выполните скрипт в AVZ:

[CODE]
begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\drivers\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\atapi.sys','');
BC_importquarantinelist;
bc_activate;
ExecuteWizard('TSW',3,3,true);
rebootwindows(true);
end.
[/CODE]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine1.zip');
end.
[/code]

Пришлите карантин quarantine1.zip по красной ссылке Прислать запрошенный карантин вверху темы

проверьтесь этой утилитой [url]http://support.kaspersky.ru/viruses/solutions?qid=208636926[/url]

Сканирование cureit делали в безопасном режиме?

скрипты выполнил
Файл сохранён как 091211_001134_quarantine_4b216406d408c.zip
Размер файла 208717
MD5 7504d752f15355abcee5e9b85cf7fc81

cureIt делал в безопасном режиме без сети
TDSSKiller сейчас попробую
DrWeb LiveCD не пошел: загрузился и написал, что нет CD..
а вот кусок из WindowsUpdate.log - как я понял не все смогло установиться

Вот лог TDSSKiller ничего нет написал

Сделайте лог [url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url]

первый раз MBAM завис при сканировании - перегрузил reset-ом
сделал еще раз MBAM (без интернета, avast приостановлен) прикреплено
в C:\Documents and Settings\Администратор появился файл oashdihasidhasuidhiasdhiashdiuasdhasd
avast находит C:\WINDOWS\system32\drivers\hfothlia.sys

обновление опять хочет попытаться поставить:
953297 - Последнее изменение :: 15 октября 2009 г. - Редакция: 1.0
MS06-061: Описание обновления для системы безопасности для Microsoft .NET Framework 1.1 с пакетом обновления 1 (SP1), 13 октября 2009 г.

чего дальше делаем?

Удалите в mbam:

[CODE]
Заражено значений реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\windows sarby (Malware.Trace) -> No action taken.
Заражено файлов:
C:\Documents and Settings\Администратор\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> No action taken.
[/CODE]

повторите лог mbam

MBAM новый лог
Обновление так и не проходит..

В логе плохого не нашел.
Возможно сбиты настройки у вас.
[url]http://support.microsoft.com/kb/900936[/url]
Окно с "отправьте смс" не появляется больше?

Окно отправить sms не появляется
обновления то грузятся, но не все устанавливаются
на выключении постоянно висит - установить ообновления
avast удалил hfothlia.sys как троян Win32:FakeAlert-FC [Trj]

видимо с getacceleratorom покончено

[QUOTE='Lontrel;531904']обновление опять хочет попытаться поставить:[/QUOTE]Снимите с него галочку и согласитесь на то, чтобы его больше не предлагали установить.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]