Нет доступа к ряду папок, вирус

Заблокировался доступ через "Проводник" к папкам на диске "С": Documents and Settings, All Users и Default User (в подпапке "Пользователи"), local settings, Application Data, Cookies, Net hood, Print hood, Sent to, Recent и т.д. В "Проводнике" у всех этих папок изменилась иконка (теперь выглядит как Ярлык на папку). При попытке открыть выскакивает окно "Отказано в доступе".

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]Гмер[/URL]

Потребный лог сделан.

Выполните скрипт в AVZ:
[CODE]
procedure WhatService(AServiceName : string);
var
dllname, servicekey : string;
begin
servicekey := 'SYSTEM\CurrentControlSet\Services\'+AServiceName;
RegKeyResetSecurity( 'HKLM', servicekey);
RegKeyResetSecurity( 'HKLM', servicekey+'\Parameters');
AddToLog('Description: '+RegKeyStrParamRead( 'HKLM', servicekey, 'Description'));
AddToLog('DisplayName: '+RegKeyStrParamRead( 'HKLM', servicekey, 'DisplayName'));
AddToLog('ImagePath: '+RegKeyStrParamRead( 'HKLM', servicekey, 'ImagePath'));
dllname := RegKeyStrParamRead( 'HKLM', servicekey+'\Parameters', 'ServiceDll');
AddToLog('ServiceDll: '+dllname);
QuarantineFile(dllname,'');
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
WhatService('xdsozxf');
BC_ImportAll;
BC_Activate;
SaveLog(GetAVZDirectory+'xdsozxf.log');
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Файл xdsozxf.log из папки AVZ приложите в теме.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Nikkollo, спасибо! Попробую сейчас выполнить скрипты.

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

[B]thyrex[/B],
Combofix скачал. Делать лог надо после выполнения скриптов AVZ (от Nikkollo)???
или ДО???

После, это же всё по порядку идёт, так и выполняйте.

Скрипты AVZ выполнены. quarantine.zip загружен по красной ссылке.

Лог xdsozxf прилагаю.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\Windows\system32\gcawb.dll');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\xdsozxf');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvcReg('xdsozxf');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]

Скрипт AVZ выполнен. Лог от ComboFix прикладываю.

Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::

Driver::

NetSvc::
xdsozxf

Folder::

Registry::

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R3 - URLSearchHook: (no name) - {b4efb02b-cd4a-44b9-b5d9-aa486cdffab6} - (no file)
[/CODE]

Обновите систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
[B]*[/B] Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3, см.[URL="http://windows.microsoft.com/ru-ru/windows/help/end-support-windows-xp-sp2-windows-vista-without-service-packs?os=xp"]тут[/URL]
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]

Всех с наступившим новым годом!!!!!!!

После проделанных операций новый лог ComboFix сделан. Прикладываю.


Не совсем понятно как профиксить в HijackThis указанные 4 строчки.

По поводу обновлений. На ноуте установлена Виста. Все обновы по ней от MS присутствуют (исключая 15 последних для MS Office).

- [URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

что с проблемой?

[QUOTE='everzh;751154']Не совсем понятно как профиксить в HijackThis указанные 4 строчки.[/QUOTE]
Это означает, что вы должно запустить сканирование HijackThis потом поставить галочки у этих строк и нажать [B]Fix checked[/B]

ComboFix успешно удалился.

По статусу проблемы:

Насколько я понял один зловред по крайней мере был удален (скрытый процесс xdsozxf файл gcawb.dll - в проводнике был не виден).

По поводу доступа к папкам - похоже что на самого напал тупняк (пережиток от XP). К примеру папка Documents a nd Settings в Viste не существует. Это действительно линк.

Позавчера проверил систему средством от Dr. Weber "CureIt". Получил 2 раза синий экран смерти (в чем причина???) После перезагрузок проверка прошла. Под подозрение попал файл office_enterprise_2007_rus.exe (было переименовано расширение на .#xe). На VirusTotalе больше половины антивирусов детектят файл как вирус или Tool. Что с ним делать пока не знаю.

По HijackThis все равно не понимаю где поставить галочки, что нужно профиксить. Привожу screenshot по скану HijackThis. В какие строчки нужно поставить галочки?

[QUOTE='everzh;751210']В какие строчки нужно поставить галочки?[/QUOTE]
рядом с R0, например, есть квадратик слева, в него ткните мышкой, получите галочку :)
Ссылку на анализ virustotal дайте посмотреть.

Вот ссылка

[URL]http://www.virustotal.com/file-scan/report.html?id=e2f56c0b7e4396ba4ffe0667b1220ae838eca577f583d25fd31ddfcd863a61d4-1294101758[/URL]

Доброй ночи.

В конце концов строчки в HijackThis профиксил. 4-х строчек идентичных с рекомендованными при запуске HijackThis скана я не нашел. Посему профиксил все строчки с кодами R0 и R1 (всего 6 шт.). В результате слетела стартовая страница в IE, восстановил.

Проблем по работе системы не наблюдается.

Остался вопрос Что делать с файлом [B]office_enterprise_2007_rus.exe [/B](расширение изменено на .#xe). Вирус это или нет??? Линк на результаты скана этого файла в VirusTotal приведен в моем предыдущем письме.

Дополнительно:

AVZ при запуске постоянно ругается на 2 блютуthные библиотеки:btmmhook.dll и btkeyind.dll. Проверял файлы чистые.


В завершение огромное спасибо всем кто помогал в лечении компа.
Всем творческих успехов в наступившем году.

[QUOTE='everzh;751600']Остался вопрос Что делать с файлом office_enterprise_2007_rus.exe (расширение изменено на .#xe). Вирус это или нет??? Линк на результаты скана этого файла в VirusTotal приведен в моем предыдущем письме.[/QUOTE]
Похоже это хактул - не вирус, можете ещё загрузить этот файл на проверку, как написано в теме [URL="http://virusinfo.info/showthread.php?t=37678"]http://virusinfo.info/showthread.php?t=37678[/URL]

Загрузил файл на проверку

Файл сохранён как 110106_010702_virus_4d24eb8610c6b.zip

Размер файла 11638

MD5 b7460f917c79d1492cf6b762e619ec2c

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]