Пожалуйста помогите! Вначале был WinAVXX...

[Blindy]

Вроде его удалил из системы, и всё с ним связанное - теперь при запуске компа постоянно вылазит что файл не найден (автозапуск чистил, в msconfig"е смотрел автозапуск).

Потом - хуже. Я обнаружил что прав администратора у меня нет. (Единственный юзер компьютера - администратор). Пишет "Операция отменена вследствие действующих для компьютера ограничений. Обратитесь к администратору сети." при попытке сделать почти любое действие. Доступ к RegEdit"у есть.

Я - нуб. Прошу обьяснить на более лёгком языке. Спасибо.

[Muzzle]

нет ничего проще,выполните логи по правилам http://virusinfo.info/showthread.php?t=1235
и мы вам поможем

[Blindy]

Вот логи.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\vtr.dll','');
 QuarantineFile('C:\WINDOWS\system32\printer.exe','');
 QuarantineFile('C:\WINDOWS\inet20003\services.exe','');
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\wschtm35.dll','');
 QuarantineFile('C:\WINDOWS\system32\svchosts.exe','');
 DeleteFile('C:\WINDOWS\system32\svchosts.exe');
 DeleteFile('C:\WINDOWS\inet20003\services.exe');
 DeleteFile('C:\WINDOWS\system32\printer.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пофиксите в HijackThis:

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\printer.exe
O9 - Extra button: (no name) - {4B5A7560-16C6-4063-86D3-000000000003} - C:\Program Files\system101\system101.dll (file missing)
O9 - Extra 'Tools' menuitem: Блокировка всплывающих окон - {4B5A7560-16C6-4063-86D3-000000000003} - C:\Program Files\system101\system101.dll (file missing)
O22 - SharedTaskScheduler: Trustworking System Class - {24E27EA9-FCF3-444F-BD80-20543BA5D946} - C:\DOCUME~1\Admin\LOCALS~1\Temp\wschtm35.dll (file missing)

Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

[Bratez]

1. Уберите карантин из темы! Загружать через эту страницу.

2. Выполните скрипт в AVZ:

begin
DeleteFile('C:\WINDOWS\system32\H@tKeysH@@k.DLL');
DeleteFile('C:\WINDOWS\pdoakac.exe');
DeleteFile('C:\WINDOWS\system32\t0.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

3. Сообщите, нужно ли вам что либо из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Добавлено через 2 минуты

И еще вот это пофиксите:

O2 - BHO: IEHlprObj Class - {ABCDECF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\vtr.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)

Добавлено через 7 минут

И последнее: у вас в модулях расширения проводника обилие ссылок на какие-то загадочные и скорее всего отсутствующие dll. Давайте попробуем вот такой скрипт карантина:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\nzoglnt.dll','');
 QuarantineFile('C:\WINDOWS\system32\mC640gjqe6oe0.dll','');
 QuarantineFile('C:\WINDOWS\system32\czseqchk.dll','');
 QuarantineFile('C:\WINDOWS\system32\uqimdmat.dll','');
 QuarantineFile('C:\WINDOWS\system32\qugrprxy.dll','');
 QuarantineFile('C:\WINDOWS\system32\mputilse.dll','');
 QuarantineFile('C:\WINDOWS\system32\ilakui.dll','');
 QuarantineFile('C:\WINDOWS\system32\nsrsit.dll','');
 QuarantineFile('C:\WINDOWS\system32\iJlola331d.dll','');
 QuarantineFile('C:\WINDOWS\system32\wwsdmoe2.dll','');
 QuarantineFile('C:\WINDOWS\system32\ugtheme.dll','');
 QuarantineFile('C:\WINDOWS\system32\fkamebuf.dll','');
 QuarantineFile('C:\WINDOWS\system32\fk0403dqe.dll','');
 QuarantineFile('C:\WINDOWS\system32\tvemeui.dll','');
 QuarantineFile('C:\WINDOWS\system32\wL2topl.dll','');
 QuarantineFile('C:\WINDOWS\system32\ZXPOOL.DLL','');
 QuarantineFile('C:\WINDOWS\system32\szorage.dll','');
 QuarantineFile('C:\WINDOWS\system32\mqrle32.dll','');
 QuarantineFile('C:\WINDOWS\system32\jd0807due.dll','');
 QuarantineFile('C:\WINDOWS\system32\3zvxVfWCodec.dll','');
 QuarantineFile('C:\WINDOWS\system32\mwidntld.dll','');
 QuarantineFile('C:\WINDOWS\system32\mbcpxl32.dLL','');
 QuarantineFile('C:\WINDOWS\system32\lecalspl.dll','');
 QuarantineFile('C:\WINDOWS\system32\mvvcp60.dll','');
 QuarantineFile('C:\WINDOWS\system32\vmpodbc.dll','');
 QuarantineFile('C:\WINDOWS\system32\axtapi.dll','');
 QuarantineFile('C:\WINDOWS\system32\TknLib20.dll','');
 QuarantineFile('C:\WINDOWS\system32\wjaueng1.dll','');
 QuarantineFile('C:\WINDOWS\system32\wbavideo.dll','');
 QuarantineFile('C:\WINDOWS\system32\mhiwave.dll','');
 QuarantineFile('C:\WINDOWS\system32\iJsnap.dll','');
 QuarantineFile('C:\WINDOWS\system32\mzrapi.dll','');
 QuarantineFile('C:\WINDOWS\system32\bUtmeter.dll','');
 QuarantineFile('C:\WINDOWS\system32\dzvoice.dll','');
 QuarantineFile('C:\WINDOWS\system32\drcpsapi.dll','');
 QuarantineFile('C:\WINDOWS\system32\pmrfctrs.dll','');
 QuarantineFile('C:\WINDOWS\system32\guard.tmp','');
 QuarantineFile('C:\WINDOWS\system32\kzdhept.dll','');
 QuarantineFile('C:\WINDOWS\system32\skimgvw.dll','');
 QuarantineFile('C:\WINDOWS\system32\iQssam.dll','');
 QuarantineFile('C:\WINDOWS\system32\dlrgui.dll','');
 QuarantineFile('C:\WINDOWS\system32\muxml3a.dll','');
 QuarantineFile('C:\WINDOWS\system32\igpeers.dll','');
 QuarantineFile('C:\WINDOWS\system32\cdvfat.dll','');
 QuarantineFile('C:\WINDOWS\system32\kfdhe319.dll','');
 QuarantineFile('C:\WINDOWS\system32\wldmlog.dll','');
 QuarantineFile('C:\WINDOWS\system32\wicsapi.dll','');
 QuarantineFile('C:\WINDOWS\system32\cb3260mt.dll','');
 QuarantineFile('C:\WINDOWS\system32\mutscax.dll','');
 QuarantineFile('C:\WINDOWS\system32\sgclient.dll','');
 QuarantineFile('C:\WINDOWS\system32\wJ2topl.dll','');
 QuarantineFile('C:\WINDOWS\system32\dccpsapi.dll','');
 QuarantineFile('C:\WINDOWS\system32\ktdgr1.dll','');
 QuarantineFile('C:\WINDOWS\system32\njwimg.dll','');
 QuarantineFile('C:\WINDOWS\system32\ofbctrac.dll','');
 QuarantineFile('C:\WINDOWS\system32\kzdgae.dll','');
 QuarantineFile('C:\WINDOWS\system32\urrvpa.dll','');
RebootWindows(true);
end.

Если что-то попадется - пришлите по правилам.

[Blindy]

Я выложил файл карантина.

По поводу нужности - нужен только автозапуск.

[Bratez]

ОК. Я кое-что добавил - см. выше. Ждем результатов длинного скрипта.

[Blindy]

Длинный скрипт выполнился "файл перехватчик" - последнее что я увидел и сразу ребут =)

Там все были по ходу дела такими.

Прошу прощения - но я не могу понять что делать дальше. В правилах читал.

PS Основная проблема ограничения доступа осталась.
PPS В карантине пусто.

[Bratez]

Выполните следующий скрипт:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
 DeleteFile('C:\WINDOWS\system32\urrvpa.dll');
 DeleteFile('C:\WINDOWS\system32\kzdgae.dll');
 DeleteFile('C:\WINDOWS\system32\ofbctrac.dll');
 DeleteFile('C:\WINDOWS\system32\njwimg.dll');
 DeleteFile('C:\WINDOWS\system32\ktdgr1.dll');
 DeleteFile('C:\WINDOWS\system32\dccpsapi.dll');
 DeleteFile('C:\WINDOWS\system32\wJ2topl.dll');
 DeleteFile('C:\WINDOWS\system32\sgclient.dll');
 DeleteFile('C:\WINDOWS\system32\mutscax.dll');
 DeleteFile('C:\WINDOWS\system32\cb3260mt.dll');
 DeleteFile('C:\WINDOWS\system32\wicsapi.dll');
 DeleteFile('C:\WINDOWS\system32\wldmlog.dll');
 DeleteFile('C:\WINDOWS\system32\kfdhe319.dll');
 DeleteFile('C:\WINDOWS\system32\cdvfat.dll');
 DeleteFile('C:\WINDOWS\system32\igpeers.dll');
 DeleteFile('C:\WINDOWS\system32\muxml3a.dll');
 DeleteFile('C:\WINDOWS\system32\dlrgui.dll');
 DeleteFile('C:\WINDOWS\system32\iQssam.dll');
 DeleteFile('C:\WINDOWS\system32\skimgvw.dll');
 DeleteFile('C:\WINDOWS\system32\kzdhept.dll');
 DeleteFile('C:\WINDOWS\system32\guard.tmp');
 DeleteFile('C:\WINDOWS\system32\pmrfctrs.dll');
 DeleteFile('C:\WINDOWS\system32\drcpsapi.dll');
 DeleteFile('C:\WINDOWS\system32\dzvoice.dll');
 DeleteFile('C:\WINDOWS\system32\bUtmeter.dll');
 DeleteFile('C:\WINDOWS\system32\mzrapi.dll');
 DeleteFile('C:\WINDOWS\system32\iJsnap.dll');
 DeleteFile('C:\WINDOWS\system32\mhiwave.dll');
 DeleteFile('C:\WINDOWS\system32\wbavideo.dll');
 DeleteFile('C:\WINDOWS\system32\wjaueng1.dll');
 DeleteFile('C:\WINDOWS\system32\TknLib20.dll');
 DeleteFile('C:\WINDOWS\system32\axtapi.dll');
 DeleteFile('C:\WINDOWS\system32\vmpodbc.dll');
 DeleteFile('C:\WINDOWS\system32\mvvcp60.dll');
 DeleteFile('C:\WINDOWS\system32\lecalspl.dll');
 DeleteFile('C:\WINDOWS\system32\mbcpxl32.dLL');
 DeleteFile('C:\WINDOWS\system32\mwidntld.dll');
 DeleteFile('C:\WINDOWS\system32\3zvxVfWCodec.dll');
 DeleteFile('C:\WINDOWS\system32\jd0807due.dll');
 DeleteFile('C:\WINDOWS\system32\mqrle32.dll');
 DeleteFile('C:\WINDOWS\system32\szorage.dll');
 DeleteFile('C:\WINDOWS\system32\ZXPOOL.DLL');
 DeleteFile('C:\WINDOWS\system32\wL2topl.dll');
 DeleteFile('C:\WINDOWS\system32\tvemeui.dll');
 DeleteFile('C:\WINDOWS\system32\fk0403dqe.dll');
 DeleteFile('C:\WINDOWS\system32\fkamebuf.dll');
 DeleteFile('C:\WINDOWS\system32\ugtheme.dll');
 DeleteFile('C:\WINDOWS\system32\wwsdmoe2.dll');
 DeleteFile('C:\WINDOWS\system32\iJlola331d.dll');
 DeleteFile('C:\WINDOWS\system32\nsrsit.dll');
 DeleteFile('C:\WINDOWS\system32\ilakui.dll');
 DeleteFile('C:\WINDOWS\system32\mputilse.dll');
 DeleteFile('C:\WINDOWS\system32\qugrprxy.dll');
 DeleteFile('C:\WINDOWS\system32\uqimdmat.dll');
 DeleteFile('C:\WINDOWS\system32\czseqchk.dll');
 DeleteFile('C:\WINDOWS\system32\mC640gjqe6oe0.dll');
 DeleteFile('C:\WINDOWS\system32\nzoglnt.dll');
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.

После перезагрузки сделайте все три лога, как в начале темы.

[Blindy]

О! Восстановились мои права администратора!
"Респект и уважуха вам!" © Comedy Club

Вот логи
PS Третий лог не обновился. Остался таким же как и был.

[Bratez]

Ссылки в расширениях проводника так и остались. Впрочем раз уж этих файлов нет, они ни на что не влияют. Вот еще скриптик для подчистки мусора:

begin
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
BC_DeleteSvc('COM+ Messages');
BC_DeleteSvc('PowerManager');
BC_Activate;
RebootWindows(true);
end.

И на этом, полагаю, дело можно закрывать.

[Blindy]

Спасибо огромное вам... Я уже форматить хотел =)

Респект всему сайту =) Теперь буду обращаться за помощью только к вам =)
PS Тему можно закрыть я думаю...

[Muzzle]

Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать электронную книгу)"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\pdoakac.exe - Trojan-Downloader.Win32.Agent.crz (DrWEB: BackDoor.Bulknet.61)
  2. c:\\windows\\system32\\t0.dll - Trojan.Win32.Agent.aph (DrWEB: Trojan.Sespy)