Объявляю войну (вирусам). Требуются опытные военачальники.

Началось всё с обнаружения в надстройках IE(и загружаемые и используемые) товарищей под названием ipv6monk.dll и ipv6monl.dll.
Стал действовать по Вашей инструкции.
Правда там ничего не сказано о запуске Двеба, а я его запустил первым.
Результат:
csrss.exe - Win32.HLLM.Perf - удалён
ipv6monk и ipv5monl - требуется перезагрузка
После перезагрузки все осталось по прежнему, правда братцы стали маскироваться - названия надстройки появилось как
{36DBC179-A19F-48F2-B16A-6A3E19B42A87}
i
{21384D29-1240-2D4F-A15C-17E42823D523}
А ИМЕНА

сейчас продолжу - почему то выкинуло на авторизацию

Лучше выполняйте правила ;)
[url]http://virusinfo.info/showthread.php?t=1235[/url]

Но я не специально.:embarasse
Очень много раз перечитывал но пока есть пробелы

[FONT=Times New Roman]а имена остались прежние, да и Win32.HMLL.Perf никуда не делся[/FONT]
[FONT=Times New Roman] [/FONT]
[FONT=Times New Roman]Дальше началось с AVZ.[/FONT]
[FONT=Times New Roman] [/FONT]
[FONT=Times New Roman]При попытке запуска первого скрипта ситема отрубилась примерно через три -пять секунд - ушла на перезагрузку. [/FONT]
[FONT=Times New Roman]Загружалась через синий экран- сканирование отменил.[/FONT]
[FONT=Times New Roman]Повторный результат(первый скрипт) - был успешный.[/FONT]
[FONT=Times New Roman]После перезагрузки - система обнаружила неизвестное устройство, которое не удолось идентифицировать, кроме того слетел драйвер контроллера последовательной шины ЮСБИ - восстановил.[/FONT]
[FONT=Times New Roman]Идентификация неизвестного устройства через диспетчер устройств оставила больше вопросов чем ответов. [/FONT]
[FONT=Times New Roman]Код 28. [/FONT]
[FONT=Times New Roman]На вкладе Сведения, свойств неизвестного устройства -[/FONT]
[FONT=Times New Roman]написано - ROOT\LEGACY_AVZRK. Из чего я сделал вывод что это как-то связано с AVZ[/FONT]
[FONT=Times New Roman] [/FONT]
[FONT=Times New Roman]Запуск второго скрипта и HijackThis прошел без осложнений.[/FONT]
[FONT=Times New Roman]и [/FONT]
[FONT=Times New Roman]В этот момент я понял (тормоз), что Двеб запускается автоматически и сканировал ранее только один диск у меня млин четыре,.. и я запустил его ещё раз на всех.[/FONT]
[FONT=Times New Roman]Результаты окзались очень необычними- он обнаружил 138 инфицированных файлов, правда больше 90% инфицированы были Win32.HLLM.Perf, но среди остальных 7- 8 троянов находились в файлах AVZ. - ето карантин я понимаю?[/FONT]

Тысяча извенений за невольное нарушение правил но йа сам по вирусом, високая температура - медленно доходит:029:

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('G:\WINDOWS\system32\ipv6monl.dll','');
QuarantineFile('appmgmts.dll','');
QuarantineFile('G:\WINDOWS\system32\cssrss.exe','');
QuarantineFile('G:\Documents and Settings\All Users\Документы\Settings\arm32.dll','');
DeleteFile('G:\WINDOWS\system32\cssrss.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".

Файл загрузил, но...
Когда сегодня включил комп он загрузился с пустым рабочим столоми отсутствием панели меню пуск, тоже полностью, там часы, рус\инглишь всякие - ничего нет.
Работу смог продолжить только потому, что одновременно включается окно проводника.
Доступ к настройке меню пуск через панель управления отсутствует, рабочий стол есть только в проводнике.

Когда запускал ваш скрипт он не смог перезагрузить комп - только ресет помог :(

Выполните скрипт в AVZ [CODE]begin
ExecuteRepair(5);
ExecuteRepair(8);
end.[/CODE] и перезагрузите компьютер через меню "Пуск". Должно помочь. Повторите логи.

скрипт выполнил, но меню пуск отсутствует! как перезагрузить - ресетом?

Присланное - [url]http://virusinfo.info/showthread.php?p=100006#post100006[/url]

А я уже стал сомневаться правильно ли, что я его удалил... До или после выполния скрипта Вы больше ни чего не делали в системе? Может сами какой процесс завершили? Сомневаюсь что удаление опасного трояна связанно с исчезновением рабочего стола. Единственное что приходит на ум, так это возможные последствия после кнопки reset. Какая у Вас файловая система? После выпонения скрипта система перезагружается дольше обычного и создается впечатление будто Windows зависла, но в самом деле это не так. Перезагрузите так: Нажмите Alt-Ctrl-Delete. Завершение работы - Перезагрузка. После перезагрузки постарайтесь получить логи.

Почитайте [URL="http://z-oleg.com/secur/advice/adv1103.php"]тут[/URL] Это должно помочь.

Пуск и рабочий стол на старом месте :)
Я к моменту исправления подготовил уже новые логи.

Кстати ipv6monk i ipv6monl пока фигурируют - это нормально?

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('G:\Documents and Settings\Алекс\Рабочий стол\Ты\Sh.exe','');
DeleteFile('G:\WINDOWS\csrss.exe');
DeleteFile('G:\Documents and Settings\All Users\Документы\Settings\arm32.dll');
DeleteFile('G:\WINDOWS\system32\ipv6monl.dll');
DeleteFile('G:\WINDOWS\system32\ipv6monk.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки [URL="http://www.virusinfo.info/showthread.php?t=4491"]"пофиксите"[/URL] в HijackThis [CODE]F2 - REG:system.ini: Shell=
O2 - BHO: (no name) - {21384D29-1240-2d4f-A15C-17E42823D523} - G:\WINDOWS\system32\ipv6monl.dll (file missing)
O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - G:\WINDOWS\system32\ipv6monk.dll (file missing)
O20 - Winlogon Notify: arm32reg - G:\Documents and Settings\All Users\Документы\Settings\arm32.dll (file missing)[/CODE]
Пришлите файлы карантина по правилам раздела "Помогите".
Повторите логи, а также добавьте файл 'bclr.log' из папки AVZ.
Срочно поменяйте все пароли, которые хранились в компьютере (браузер, почтовый клиент, ICQ-клиент и так далее).

Стол в начале еще раз улетал - но мы опытные теперь,:) вернули.

Когда фиксил, у Джека первой строчки из вашего поста небыло, а последняя была покороче.

Этого -"G:\Documents and Settings\All Users\Документы\Settings\arm32.dll (file missing)" - небыло.

К сожалению не нашел 'bclr.log'

насчет паролей - браузер без пароля, почтовым клиентом не пользуюсь с этого компа - только интернет почта типа майл.ру,...айсикью, мэйлагент удалил,... ну вообщем можно сказать сделал как просили

Имелось ввиду 'boot_clr.log'.
Найдите его и сделайте логи п.10 и 12 правил.

Логи сделал, но они не пристегиваются - 2 раза пробовал

пофиксить - [CODE]O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab
[/CODE]

[quote=Bratez;100046]Имелось ввиду 'boot_clr.log'.
[/quote]

Такого тоже нету. ?(

В логах все чисто, только два замечания:
1. На рабочем столе в папке "Ты" лежит подозрительный файлик Sh.exe, если не знаете, что это, лучше удалите.
2. Поставьте антивирус! Я бы рекомендовал Kaspersky Internet Security 6.0, хотя выбирать конечно Вам.

Удачи! :)

016 - пофиксил

Всем огромное спасибо.
И сама система и народ который делает добрые дела - всё КРУТО:appl: :druzja: :good:

Постараюсь Вам помочь - чем смогу.

Вы можете нас отблагодарить [URL="http://www.virusinfo.info/showthread.php?t=3519"]так[/URL] Мы будем Вам очень благодарны!
В качестве вариантов ещё почитайте [URL="http://www.virusinfo.info/showthread.php?t=2645"]тут[/URL] и [URL="http://www.virusinfo.info/showthread.php?t=7294"]тут[/URL]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] g:\\windows\\system32\\cssrss.exe - [B]Trojan-Downloader.Win32.Agent.bhp[/B] (DrWEB: Trojan.DownLoader.19677)[/LIST][/LIST]