Нестандартный ключ Winlogon\Shell

[vanek]

Эвристичеcкая проверка системы
Нестандартный ключ Winlogon\Shell, подозрение на скрытый запуск "explorer.exe ,svchost.exe"
C:\WINDOWS\system32\adir.dll >>>>> Email-Worm.Win32.Banwarum.f удален

нет доступа к параметрам экрана - появляется синий экран

[AndreyKa]

Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 QuarantineFile('C:\Program Files\PartyGaming\PartyPoker\RunApp.exe','');
 QuarantineFile('C:\WINDOWS\System32\zafrye.dll','');
 QuarantineFile('svchost.exe','');
 QuarantineFile('c:\windows\system32\uvnx.exe','');
 QuarantineFile('C:\WINDOWS\System32\taskdir.exe','');
 QuarantineFile('C:\WINDOWS\System32\lnwin.exe','');
 QuarantineFile('C:\WINDOWS\System32\adirss.exe','');
 QuarantineFile('C:\DOCUME~1\Van\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('C:\DOCUME~1\Van\LOCALS~1\Temp\svchast.exe','');
 QuarantineFile('C:\WINDOWS\inetloader.dll','');
 CreateQurantineArchive(GetAVZDirectory+'8257_quarantine.zip');
end.

Загрузите файл 8257_quarantine.zip из папки AVZ, используя эту ссылку.

PS. Настоятельно рекомендую установить Service Pack 2 для Windows XP. Правда, могут быть проблемы, если Windows пиратский.
PPS. Вы процессы через диспетчер задач перед созданием логов не закрывали?

[vanek]

логи делал не со всеми процессами, сильно ругался.
прикрепил логи со всеми обчными процессами, надеюсь все как надо сделанно

ну и файл 8257_quarantine.zip
Результат загрузки

Файл сохранён как070304_232528_8257_quarantine_45eb2b38d16fb.zip Размер файла633372MD584801637ccbc1d75dd0577dd0131fb3f

[AndreyKa]

C файлом 8257_quarantine.zip получилось что-то не то.
Придется вручную взять из карантина файлы, попавшие туда сегодня. Как это сделать смотрите в приложении 3 Правил.

[vanek]

сделано, отправил по ссылке
эту ссылку.
Файл сохранён как070305_001500_virus_45eb36d4de821.zip

[AndreyKa]

Все присланные в этот раз файлы - вредоносные.
Закройте все программы.
Отключитесь от Интернета.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFile('C:\DOCUME~1\Van\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('C:\WINDOWS\inetloader.dll');
 DeleteFile('C:\WINDOWS\System32\lnwin.exe');
 DeleteFile('C:\WINDOWS\System32\adirss.exe');
 DeleteFile('C:\WINDOWS\System32\taskdir.exe');
 DeleteFile('C:\DOCUME~1\Van\LOCALS~1\Temp\svchast.exe');
 BC_ImportDeletedList; 
 ExecuteSysClean;
 BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
 BC_Activate; 
 RebootWindows(True);
end.

Компьютер перезагрузится.
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме вместе с файлом boot_clr.log из папки AVZ.

[vanek]

вот файлы, вопрос с насторойками разрешения на компьютере, стоит самое низкое разрешение, глубина цвета и т.д. изменить не дает - сининй экран

[PavelA]

В AVZ восстановление системы, пункт 5, поставить галочку, выполнить отмеченные операции.

[AndreyKa]

Пофиксте в HijackThis следующие строки:

F2 - REG:system.ini: Shell=explorer.exe ,svchost.exe
O4 - HKLM\..\Run: [uvnx] c:\windows\system32\uvnx.exe
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\...
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Program Files\PartyGaming\...

[vanek]

все сделал только с экраном проблемма осталась, выдает синий экран ироглифы, понятный текст следущий
STOP 0x0000008e (0xc00000005, 0xBFA5769A, 0XEF8272CC, 0x00000000)
ati3duag.dll - address BfA5796A base at BFA03000, datestamp 3ec448c5

и при заходе в установку оборудования пишет занят, т.к. можно устанавливать 1 оборудование в каждый момент времени

[vanek]

спасибо всем, работает

[AndreyKa]

Что работает? И свойства рабочего стола?

Вы можете нам помочь в дальнейшей борьбе с заразой.
Если у вас нет проблем с Интернет трафиком, то выполните, пожалуйста, процедуру описанную здесь: http://virusinfo.info/showthread.php?t=3519
Не забудьте при этом закрыть все программы, которые вы запустили сами.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\docume~1\\van\\locals~1\\temp\\svchast.exe - Trojan-Downloader.Win32.Bensorty.dr (DrWEB: Trojan.DownLoader.19391)
  2. c:\\docume~1\\van\\locals~1\\temp\\winlogon.exe - Trojan-Proxy.Win32.Small.du (DrWEB: Trojan.Spambot)
  3. c:\\windows\\inetloader.dll - Trojan-Downloader.Win32.Small.ddp (DrWEB: Trojan.DownLoader.19172)
  4. c:\\windows\\system32\\adirss.exe - Packed.Win32.Tibs.bw (DrWEB: Trojan.Packed.43)
  5. c:\\windows\\system32\\lnwin.exe - Packed.Win32.Tibs.bw (DrWEB: Trojan.Packed.43)
  6. c:\\windows\\system32\\taskdir.exe - Packed.Win32.Tibs.bw (DrWEB: Trojan.Packed.43)