windows warning message spyware detected on your computer

[Dantist]

Добрый день!


Появилась заставка на рабочем столе на синем, потом на белом фоне красная заставка с надписью: Warning! Spyware detected on your computer! Install an antivirus or spyware remover to clean your computer.
Warning! Win32/Adware.Virtumonde Detected on your computer - Danger!
Warning! Win32/PrivacyRemover.M64 Detected on your computer - Danger!
Please activate your antivirus software to Clean your computer
Пропала вкладка заставка и скринсейвер в свойствах.

А еще через некоторое время антивирус Norton находит Trojan.Pandex, в файлах winpix28.sys или winlt85.sys помещает файлы в карантин, но после перезагрузки опять появляется.

Прикладываю необходимые файлы. Подскажите, пожалуйста, пути решения проблемы. Очень надеюсь на вашу помощь. А то всю ночь не спал не как избавится от етого немог!

[Rene-gad]

Восстановление системы: включено
А теперь выключите и повторите логи в строгом соответствии с првилами.

[Dantist]

Все сделал теперь как надо вот файлы

[Rene-gad]

Скачайте IceSword , поищите и скопируйте файлы:

C:\WINDOWS\system32\drivers\xinstall.sys

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('AlerterSavRoam');
 DeleteService('AdobeSysmonLog');
 DeleteService('InCDsrvW32Time');
 DeleteService('Eventlogwuauserv');
 DeleteService('CiSvclanmanserver');
 DeleteService('RemoteRegistryServiceLayer');
 DeleteService('ShellHWDetectionEventlog');
 QuarantineFile('C:\WINDOWS\system32\drivers\xinstall.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\xinstall.sys');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('AlerterSavRoam');
 BC_DeleteSvc('AdobeSysmonLog');
 BC_DeleteSvc('InCDsrvW32Time');
 BC_DeleteSvc('Eventlogwuauserv');
 BC_DeleteSvc('CiSvclanmanserver');
 BC_DeleteSvc('RemoteRegistryServiceLayer');
 BC_DeleteSvc('ShellHWDetectionEventlog');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[Dantist]

Файл сохранён как 080818_084924_virus_48a97de44adfb.zip
Размер файла 4190
MD5 a4b2e65ab4cb84a621bfbf1fc3291082

вот отослал файл

[Rene-gad]

А логи повторные?

[Dantist]

Вот логи а закладок скринсейвер и обои до сих пор нет

а загрузить не могу потому как пишет Превышен предел на форуме

[Rene-gad]

- Выполните скрипт

begin
executerepair(1);
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.

Логи после скрипта сделайте и закачайте. Можете удалить логи из первого сообщения (Мой Кабинет/Вложения)

[Dantist]

закладок скринсейвер и обои до сих пор нет
после последнего скрипта вот логи

Да и еще после каждой перезагрузки системы включается востановление системы хотя перед проверкой я его выключаю. но после перезагрузки восстановление системы опять включается

[Rene-gad]

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('AdobeSysmonLog');
 DeleteService('AlerterSavRoam');
 DeleteService('CiSvclanmanserver');
 DeleteService('Eventlogwuauserv');
 DeleteService('InCDsrvW32Time');
 DeleteService('RemoteRegistryServiceLayer');
 DeleteService('ShellHWDetectionEventlog');
 DeleteFile('C:\WINDOWS\system32\blphcrcbj0e7e9.scr');
 DeleteFile('C:\WINDOWS\system32\lphcrcbj0e7e9.exe');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('AdobeSysmonLog');
 BC_DeleteSvc('AlerterSavRoam');
 BC_DeleteSvc('CiSvclanmanserver');
 BC_DeleteSvc('Eventlogwuauserv');
 BC_DeleteSvc('InCDsrvW32Time');
 BC_DeleteSvc('RemoteRegistryServiceLayer');
 BC_DeleteSvc('ShellHWDetectionEventlog');
executerepair(1);
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
BC_Activate;
RebootWindows(true);
end.

Логи после скрипта сделайте и закачайте.

[Dantist]

Пропала ета заставка с предупреждением, появились закладки обои и скринсейвер.
Теперь после перезагрузки восстановление системы по новой не включается
Скрипт помог вот логи

[Dantist]

Только когда хочу запустить брендмауер появляется надпись

Не удается отобразить параметры брендмауера виндовз, потому что связанная служба не запущена. Запустить службу ,,Брендмауер/общий доступ к интернету (ICS)'' ответить да?

[Rene-gad]

Не удается отобразить параметры брендмауера виндовз, потому что связанная служба не запущена. Запустить службу ,,Брендмауер/общий доступ к интернету (ICS)'' ответить да?

У Вас же есть уже файрвол:C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nv_common_fir ewall.dll , а 2 в одной системе не бывает.

[Dantist]

так у меня уже все нормально? вирусов нет?

[Rene-gad]

вирусов нет?

По крайней мере они себя в логах не показывают
Сервис Пак 3 поставьте.

[Dantist]

а ссылку на скачку сервис пака руского можна?

[Rene-gad]

а ссылку на скачку сервис пака руского можна?

А у меня какая в подписи стоит?

[Dantist]

Огромное спасибо хотел у Вас как у експерта спросить какой фаервол посоветуете?

[Rene-gad]

Огромное спасибо хотел у Вас как у експерта спросить какой фаервол посоветуете?

Никакой Файрвол интересен с точки зрения, понаблюдать куда и откуда что идет. Как средство защиты он бесполезен.
Встроенный Виндовс-Файрволл обеспечивает перевод портов в состояние STEALS (невидимка) не хуже любого другого.
Обмен мнениями о файрволлах Вы найдете в соотв. разделах нашего портала.
Почитайте еще тут: http://security-advisory.virusinfo.info/

[Dantist]

Еще вопрос если я живу в Украине далеко в селе и хочу через почту послать вам так сказать денежную благодарность есть ли у вас какой нить номер счета?