Помогите пожалуйста справиться с Internet Security

Словила Internet Security еще 9 января. Блокирует все, не могу ничего запустить, востановление отключено, диспетчер задач отключен. При загрузке с LiveCD проверила свежим CureIt - он ничего не нашел, удалила вручную WINDOWS\system32\sdra64.exe , больше ничего не нашла. Пробовала вводить коды - не подходят и банер не пропадает. Дальше не знаю что делать. В моем LiveCD не находит сетевую карту и интернета нету.
Логи сделать не могу, проверить комп АВЗ тоже не могу. Переустанавливать винду очень не желательно, и боюсь что при резервном копировании этот вирус залезет в новую винду. Посоветуйте пожалуйста что делать.

1. Попробуйте делать логи в безопасном режиме.
2. Попробуйте сделать [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL].

в безопасном режиме тоже самое что и в основном, с 1 отличием - запускается 1 раз 1 программа, кроме всех антивирусных. То есть запускается калькулятор или фотошоп ... А вот при входе в папку с АВЗ - компьютер перезагружается, пробовала переименовать и папку и exe - запускает и сразу перезагружается. Попробую сделать лог gmer, но боюсь что вирус мне не даст этого сделать. А этот лог можно сделать с лайфсд?

[QUOTE='ketti83;562011']А этот лог можно сделать с лайфсд?[/QUOTE]
В LiveCD имеет смысл делать только сканирование. Логи - нет.

Я сделаю проверку gmer-ом когда приду домой. Сейчас в гостях там где есть интернет. Хотела спросить есть ли смысл прикрепить мой винчестер к другой машине и еще раз проверить антивирусом? И большая ли опасность заразить и этот компьютер?

[QUOTE='ketti83;562020']есть ли смысл прикрепить мой винчестер к другой машине и еще раз проверить антивирусом? И большая ли опасность заразить и этот компьютер? [/QUOTE]
Смысл есть, только базы антивируса обновите, должны быть самые свежие. Опасности нет, вы ведь не будете со своего диска ничего запускать.

После проверки моего винчестера на другой машине доктором вебом - было удалено много файлов. Теперь виндовс запустилась и дала мне делать логи (хотя hijackthis запустился только с флешки), а антивирус вообще пропал. Диспетчер задач и востановление системы по прежнему не работают.

[ATTACH]206607[/ATTACH]

[ATTACH]206608[/ATTACH]

[ATTACH]206609[/ATTACH]

Выполните скрипт
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\c_857.nls:AJOOhcG','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Lbd.sys','');
QuarantineFile('C:\WINDOWS\system32\FsUsbExDisk.SYS','');
DeleteFile('C:\WINDOWS\system32\c_857.nls:AJOOhcG');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/code]
Пофиксите Hijackthis
[code]R3 - URLSearchHook: (no name) - {A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE} - (no file)
R3 - URLSearchHook: (no name) - - (no file)[/code]
Закачайте карантин по красной ссылке вверху. Повторите логи

Все сделала как вы написали.
Диспетчер задач появился, антивирус, востановление системы тоже.
А вот в "Мой компьютер" появилась "Веб-папки" - что с ними делать?
Ниже новые логи

[ATTACH]206681[/ATTACH]

[ATTACH]206682[/ATTACH]

[ATTACH]206683[/ATTACH]

Хотела еще спросить о автозапуске в msconfig, я когда-то давно отключила там несколько процесов, но они так там и висят. Как их можно оттуда удалить? Скрин прилагаю
[ATTACH]206684[/ATTACH]

Я знаю что поле вирусом могут оставатся "дырки" в защите компьютера, как об этом можно узнать, и на какие настройки стоит обратить внимание?

Карантин закачала
Файл сохранён как 100117_115141_virusinfo_cure_4b52cf9d96988.zip
Размер файла 17164
MD5 12dae62fcde30363ac3f92f1ac97f464

[QUOTE='ketti83;562653']Как их можно оттуда удалить? Скрин прилагаю[/QUOTE]
В AVZ Сервис - Менеджер автозапуска - там можно лишнее поудалять. Только не переборщите.

[QUOTE='ketti83;562653']в "Мой компьютер" появилась "Веб-папки" - что с ними делать?[/QUOTE]
Выполните скрипт:
[CODE]begin
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
end.[/CODE]

скрипт выполнила - Веб-папки пропали

может я не так что-то делаю, но я не вижу в менеджере автозапуска записи с b.exe

Там в Менеджере есть иконка "дискетка". Сохраните лог и пришлите.

[ATTACH]206699[/ATTACH]

Лог из Менеджера автозапуска

[QUOTE='ketti83;562672']b.exe[/QUOTE] - из msconfig полный путь на этот файл пришлите.

C:\Documents and Settings\sv\Local Settings\Temp

в реестре software\microsoft\windows\currentversion\run

это полный путь к b.exe, но это был вирус и я его удалила. тоесть физически файла нету, а в автозапуске он прописан.

Выполнить:
[CODE]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RUN','b');
end.[/CODE]
Проверить по msconfig

скрипт выполнено, написало что без ошибок. но в msconfig он все так же есть.

а каратнин смотрели и логи, там все нормально?

Я немного изменил скрипт в сообщении #17, выполните его еще раз.

скрипт выполнила еще раз, перезагрузилась а в msconfig он все так же есть.
зашла в реестр там нету записи о файле b.exe по адресу HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RUN

А может быть, [B]Run-[/B] ?

да, Run, я в сообщении просто скопировала путь с 17 сообщения вот и получилось так

напишите пожалуйста по поводу последних логов и карантина, что там?

[QUOTE='ketti83;562904']да, Run[/QUOTE]
Вы не поняли, я имею ввиду [B]Run с минусом[/B].

В логах и в карантине все ОК.

Я не совсем поняла куда нужно ставить минус
попробовала выполнить скрипт в авз с минусом - результат тот же, в списке есть запись о файле b.exe
еще хотела спросить, перезагружатся обязательно после выполнения скрипта?

[QUOTE='ketti83;562924']результат тот же, в списке есть запись о файле b.exe[/QUOTE]
Поставьте ему галочку в msconfig'e, перезагрузите компьютер и сделайте лог HijackThis.

Включила, перезагрузилась.
Ниже лог
[ATTACH]206820[/ATTACH]

ЭТА ЗАПИСЬ ЕСТЬ В РЕЕСТРЕ по адресу HKEY_CURRENT_USER\Software\Microsoft\Windows\Curr entVersion\Run
а мы ее искали в локал машин

Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [PopRock] C:\DOCUME~1\sv\LOCALS~1\Temp\b.exe
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[QUOTE='ketti83;562965']ЭТА ЗАПИСЬ ЕСТЬ В РЕЕСТРЕ по адресу HKEY_CURRENT_USER\Software\Microsoft\Windows\Curr entVersion\Run
а мы ее искали в локал машин[/QUOTE]
Она не отображалась в логах, т.к. была отключена, а в окне msconfig'a не указан куст HKLM или HKCU. Ну главное, что нашлась наконец :)

:) УРА!!!! все получилось. теперь нигде ее нету :)

Спасибо громадное!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]