SMS на номер 3381 с текстом 1820211711541

Всплыл порнобанер с тесктом (см. название темы) и двумя фото с голой женщиной. Запустить AVZ(комп перегружается), HijackThis, AVPTool не удается.
Проверил CureIt в Безопасном режиме - результат 0.
ERD Commander и LiveCD также не помогли (ничего LiveCD не нашел).
Большинство екзешек не открывается, а если открывается, так сразу появляется банер, диспетчер задач блокирован, редактор реестра блокирован. Помогите избавится от этой заразы...
P.S.: Правила оформления темы читал, но ничего из этого выполнить не смог (причина - см. выше).

1. Загрузитесь с [B]ERD Commander[/B]
2. Пуск - Выполнить - [B]erdregedit[/B]
3. Посмотрите в реестре:
[B]ветка[/B]
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/code]
[B]параметр[/B]
[code]AppInit_DLLs[/code]

Содержимое этого параметра напишите в своем сообщении

[QUOTE=thyrex;647237]1. Загрузитесь с [B]ERD Commander[/B]
2. Пуск - Выполнить - [B]erdregedit[/B]
3. Посмотрите в реестре:
[B]ветка[/B]
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/code]
[B]параметр[/B]
[code]AppInit_DLLs[/code]

Содержимое этого параметра напишите в своем сообщении[/QUOTE]

Смотрел. Там пусто. Никакого значения нет.

Попробуйте через Администрирование посмотреть

Что именно там смотреть?

Безопасный режим работает, давайте попробуем так

Скачайте [URL="http://www.gmer.net/download.php"]gmer[/URL]
Запустите программу в безопасном режиме.
После завершения экспресс-проверки, кликните на вкладке "[B]>>>[/B]" и перейдите на вкладку [B]Registry[/B]. Попробуйте посмотреть значение параметра AppInit_DLLs

Значение AppInit_DLLs = C:\WINDOWS\system32\rwpvfdi.dll

Через gmer (вкладка [B]Files[/B]) попробуйте переименовать этот файл и очистите значение параметра.

После этого пробуйте загружаться в нормальном режиме и выполнять правила

Не помогло. При попытке войти в папку AVZ комп перегрузился. Снова через безопасный посмотрел значения ключа - так там уже новая dll'а прописана. Опять повторил действия - и опять провал при попытке войти в папку с AVZ.

Стало быть все действия нужно проводить через [B]ERD Commander[/B]. Что-то Вы делаете не так

Только что снова попробовал через ERD Commander посмотреть значение AppInit_DLLs - так там пусто. через gmer показывает значение, а через ERD пусто. Что вы там говорили посмотреть через Администрирование?

Смотреть параметр через Администрирование

Как именно, расскажите поподробнее, пожалуйста.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 0 минут[/I][/B][/color][/size]

Спасибо, не надо, осознал в чем ошибался. Запустил, сканирую, собираю логи. Соберу - выложу.
Надеюсь на Вашу помощь.

Просканировал. Собрал ЛОГи. Выставляю. Посмотрите, пожалуйста, все ли нормально, и если нет, подскажите, что надо чтоб исправить

Выполните скрипт в AVZ
[code]begin
ExecuteRepair(6);
ExecuteRepair(11);
ExecuteRepair(17);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Скачайте [url=http://images.malwareremoval.com/random/RSIT.exe]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.

Прошу.

Тот файл, который был прописан в AppInit_DLLs, сохранился у Вас?

Выполните скрипт в AVZ
[code]begin
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\start 1');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\RegistryMonitor1');
RebootWindows(true);
end.[/code]Компьютер перезагрузится

Да две (поскольку дважды проделывал операцию) dll'ки сохранились. Выложить смогу (если надо) после 17.00 часов, поскольку сейчас на работе.
[QUOTE='thyrex;648491']Выполните скрипт в AVZ
Код:
begin
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\start 1');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\RegistryMonitor1');
RebootWindows(true);
end.

Компьютер перезагрузится [/QUOTE]

После скрипта в AVZ будет все нормально?

[QUOTE='gov1985;648586']Выложить смогу (если надо)[/QUOTE]
Пришлите их в zip архиве с паролем virus через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы.

[QUOTE='gov1985;648586']После скрипта в AVZ будет все нормально? [/QUOTE]
Это вы нам раскажите.

Выполнил скрипт. Вроде все работает нормально.

Лечение закончено

Обновите [url="http://www.java.com/ru/download/manual.jsp"]JavaRE[/url]

Спасибо, Вам, большое!!!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \regygf.dll - [B]Worm.Win32.NeKav.cz[/B] ( DrWEB: Trojan.Packed.20343 )[*] \rwpvfdi.dll - [B]Worm.Win32.NeKav.cz[/B] ( DrWEB: Trojan.Packed.20343 )[/LIST][/LIST]