Провайдер отключает от интернета

[Guant]

Пришло уведомление от провайдера, мол у меня вирус, идет активность по 25 порту. В свойствах соединения действительно нездоровая активность, очень много отправленных байт. NODом чистил но осталась какая то бяка. При выполнении Скрипта лечения/карантина и сбора информации для раздела "Помогите!" выдает синий экран смерти... В остальном ПК работает нормально.
Не знаю где искать эту гадость...

[Kuzz]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(false, true);
 BC_QrFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys');
 BC_DeleteFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys');
 BC_QrFile('C:\WINDOWS\system32\polh.dll','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Lhl39', 'Start');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)

[V_Bond]

пофиксите ....

O2 - BHO: (no name) - {25AD49A2-94F3-42BD-F434-2604812C897D} - (no file)
O21 - SSODL: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\system32\polh.dll (file missing)
O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\system32\polh.dll (file missing)
O22 - SharedTaskScheduler: sdgfdgdgdtj - {25AD49A2-94F3-42BD-F434-2604812C897D} - (no file)

[Guant]

begin
SearchRootkit(false, true);
BC_QrFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys') ;
BC_DeleteFile('C:\WINDOWS\system32\F8186BC3Lhl39.s ys');
BC_QrFile('C:\WINDOWS\system32\polh.dll','');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Lhl39', 'Start');
RebootWindows(true);
end.

AVZ ругался на синтаксис, убрал а 5 строке кавычки после запятой.
Сразу после выполнения этого скрипта вылетает синий экран смерти, в карантине ничего не сохранилось.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Lhl39', 'Start');
RebootWindows(true);
end.

после перезагрузки еще один ...

begin
 DeleteFile('C:\WINDOWS\system32\F8186BC3Lhl39.sys');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи...

[Kuzz]

AVZ ругался на синтаксис,

Да, я поставил лишние кавычки.

Теперь выполняйте рекомендации V_Bond.

[Guant]

V_Bond
На первый скрипт выдал сообщение что успешно выполнен и тут же синий экран...
Второй скрипт приминился без проблем.
При сборе логов как и в первый раз, синий экран. Два других лога я отправил.

[V_Bond]

логи нужно прикреплять ...

[Guant]

Логи

[Numb]

Давайте попробуем так: качайте бета-версию cureit! отсюда: ftp://ftp.drweb.com/pub/drweb/cureit/cureit-beta.exe
Отключитесь от сети, отключите монитор NOD-а (в идеале, вообще деинсталлируйте его на время) и отключите автоматическое восстановление системы. Запустите полную проверку машины CureIt! ВНИМАНИЕ: при старте утилиты, предлагается провести экспресс-проверку, по окончании которой следует самостоятельно отметить пункт "Полная проверка" и нажать кнопку "выполнить". По окончании проверки, повторите логи, начиная с п. 10 правил и прикрепите к теме, в дополнение к ним, к ним файл %userprofile%\DoctorWeb\cureit.log

[Guant]

Изначально проверял Cureit, ничего не находил. Сейчас проверил Cureit-beta. Что то нашел и почистил. Интернет активность кажись прекратилась. Карантин мне чистить? Логи выложил...

[drongo]

1.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\system32\polh.dll (file missing)
O22 - SharedTaskScheduler: sdgfdgdgdtj - {25AD49A2-94F3-42BD-F434-2604812C897D} - (no file)

2.AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\polh.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
RebootWindows(true);
end.

3.
Насчёт ваших дырок в системе:

Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя

Если комп домашний без сетки всё закрыть используя следующий скрипт:

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.

P.S. Чтобы уменьшить шанс заражения, на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию с лёгкостью разрешая доверенным сайтам выполнять скрипты (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": http://security-advisory.newmail.ru

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : http://virusinfo.info/showthread.php?t=3519
Мы будем Вам очень благодарны!