Trojan.spambot

[martin79]

Ок. Как самочувствие компьютера?

самочувствие отличное) но пара подозрительных файлов в avz еще виднеется... хотя комп работает нормально) правда я еще не поставил SP2, займусь этим сегодня вечером

в любом случае, спасибо за помощь!

Добавлено через 2 часа 55 минут
еще какие-нибудь советы по моему случаю будут? логи, как меня и просили, я выслал, они лежат в последнем сообщении на 1 странице

[PavelA]

1.Если система лицензионная, то установить SP2 + заплатки, вышедшие после него.

2. Директорию C:\Documents and Settings\sohina\Local Settings\Temp - почистить.

3.ICQLite - это есть на компьютере? Если нет, профиксить:

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)

4.в AVZ выполнить скрипт:

begin
DeleteService('FCI', true);
DeleteService('msupdate', true);
end.

5. Прислать новые логи.

[martin79]

SP2 упрямо не хочет ставиться... пытался ставить и для русской и для английской версии... винда не лицензионная, поэтому автоматическое обновление не катит... видимо все же придется ставить систему с нуля)

но логи все же сделал) надо же добить этот вирусняк

[PavelA]

К сожалению, два сервиса не удалились.
Пойдем другим путем:
Загружаемся в безопасном режиме и повторяем скрипт.

begin
ClearHostsFile;
DeleteService('FCI', false);
DeleteService('msupdate', false);
end.

Если не пройдет, то Пуск - Выполнить - cmd - нажать "Ок" --
sc delete 'FCI', затем sc delete 'msupdate'

плюс вот этого еще удалите C:\Documents and Settings\Borodyanskaya.FRENDSHIP\Local Settings\Temporary Internet Files\OLKD\Торгово-парковочный комплекс (2).doc

[martin79]

так, поставил SP2, только теперь он упрямо не желает видеть сетевую карту... сетевуха интегрированная, дрова к ней родные (с диска к материнке)...
в диспетчере устройств - устройство отключено (код 22), при попытке включить начинает искать к нему дрова, находит и... заявляет, что устройство отключено (код 22) и поэтому дрова установлены быть не могут... вирус это или нет х.з. к видеокарте тоже тоже дрова не ставит (единственный поддерживаемый режим 640х480, цвет 4 бита)...
материнка Intel Desktop Board D845 GVSR... понимаю, что офтоп, но может кто подскажет в чем дело?

[pig]

Может, для начала драйвера чипсета переставить?

[martin79]

уже разобрался)
дрова для чипсета ставил (с родного для материнки диска), а вот сетевуха...
в общем, скачал новую версию дров для видюхи и сетевухи, все заработало) дрова для чипсета переустанавливать не пришлось

p.s. всем спасибо за помощь в лечении вирусов)

[Макcим]

Сделайте ещё раз лог hijackthis.

[martin79]

лог хайджека

[PavelA]

Попробуй удалить сервисы, как я писал командой "sc".
Что-то AVZ их не может удалить.
Плюс, вот эти строчки профиксить:

O20 - Winlogon Notify: origami - C:\WINDOWS\System32\alcnt.dll (file missing)
O20 - Winlogon Notify: ovrscn - ovrscn.dll (file missing)

[martin79]

значит так:
указанные строчки в хайджеке пофиксил, а при попытке выполнить команды
sc delete 'FCI'
sc delete 'msupdate'

выдает сообщение:
[SC] OpenService Failed 1060:
The specified service does not exist as an installed service

То ли он уже удален, то ли не виден...

[PavelA]

в AVZ - Сервис -- Диспетчер служб и драйверов -- вверху выбрать "службы", "Все" ,поискать этих двух голубчиков. Если найдутся, то вверху нажать крестик.
Делать это надо в защищенном режиме.

[martin79]

защищенный режим имеется в виду safe mode, или что-то другое?

нашлись оба сервиса, во вкладке по анализу реестра...
msupdate удалился сразу, а FCI не удаляется ни в обычном режиме, ни в safe mode...

[PavelA]

защищенный режим имеется в виду safe mode, или что-то другое?

Да, это оно.

[martin79]

даже в safe mode при попытке удаления FCI выдается сообщение, что сервис опознан как системный и удален быть не может...

[PavelA]

O23 - Service: MS Internet Countermeasures Framework2b (FCI) - Unknown owner - C:\WINDOWS\System32\svchost.exe:ext.exe (file missing)

можно попробовать просто профиксить в HijackThis

[martin79]

удалил через хайджек)
перед этим в управлении службами отключил его (вместо типа запуска Авто поставил Отключить), потом удалил FCI как службу NT в хайджеке

[PavelA]

Ну думаю, на этом можно и закончить.

Чистого вам, Интернета!

[Макcим]

Давайте повторный лог HijackThis для контроля.

[martin79]

лог хайджека