Сообщение об установленном Spyware

[Den_in]

Добрый день!
Постоянно появляются разные окна с сообщениями (на английском), с примерно одинаковым смыслом, что обнаружено Spyware, безопасность под угрозой, нажмите для установки antispyware и т.д.
В папке System32 висит файл spywarewarning.mhtml, который удаляется только после завершения процесса 6to4svcj.exe, IE открывается со стартовой spywarewarning (то же самое - нажмите для установки antispyware и т.д.). FireFox работает нормально. Из антивирусов Norton и Dr.web Cureit ничего не находят.Если Adaware 2007 начинает сканирование, видно что 2 объекта обнаружил и - постоянно производится самопроизвольная перезагрузка компьютера. Восстановление системы не отключается.
Помогите, пожалуйста !!!

[V_Bond]

выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('c:\windows\system32\alga.exe','');
 QuarantineFile('\SystemRoot\system32\drivers\ps6ajzsb.sys','');     
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил..

[Den_in]

после выполнения скрипта компьютер перезагрузился, карантин отправил, как узнать, получили ли Вы его?

[V_Bond]

alga.exe
- да и по вирустотал подозрительный ...
ps6ajzsb.sys -чистый ....
выполните скрипт ...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('c:\windows\system32\alga.exe');     
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторите логи ...

[Den_in]

Вот новые логи. Кстати до обращения на сайт за помощью, я удалил файл 6to4svcj.exe, может зря, так как ничего не изменялось потом (на всякий случай файл держу в карантине AVZ).

[V_Bond]

6to4svcj.exe - пришлите по правилам ...

[Den_in]

Отправил 6to4svcj.exe., из system32 файл spywarewarning.mhtml удалился! хотя раньше не давал, писал занят другим приложением.

[V_Bond]

C:\WINDOWS\system32\6to4svcj.exe not-virus:Hoax.Win32.agent.r
выполните скрипт...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('c:\windows\system32\alga.exe');
 DeleteFile('C:\WINDOWS\system32\6to4svcj.exe');
 BC_DeleteSvc('upnphostWmiApSrv');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

пофиксите...

O23 - Service: Протокол HTTP SSL HTTPFilterNetlogon (HTTPFilterNetlogon) - Unknown owner - C:\WINDOWS\system32\6to4svcj.exe (file missing)
O23 - Service: Узел универсальн 099;х PnP-устройств upnphostWmiApSrv (upnphostWmiApSrv) - Unknown owner - C:\WINDOWS\system32\alga.exe (file missing)

[Den_in]

<<O23 - Service: Узел универсальн 099;х PnP-устройств upnphostWmiApSrv (upnphostWmiApSrv) - Unknown owner - C:\WINDOWS\system32\alga.exe (file missing)>
нет такой строки в окне HijackThis !!

Добавлено через 11 минут

Первую строчку пофиксил, перезагрузку выполнил,
вроде все хорошо, окна не всплывают, IE после установки стартовой "с пустой" реагирует нормально, неужели всё?
компьтер домашний, не хотелось бы больше подцепить заразу!!!

[V_Bond]

логи повторите...

[Den_in]

Вот последние логи...

[V_Bond]

выполните скрипт...

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\6to4svcj.exe');
 BC_DeleteSvc('HTTPFilterNetlogon');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

повторие лог ... hijackthis.log

[Den_in]

Отправляю лог Hijack...

[V_Bond]

больше не вижу ничего зловредного....
осталось разобраться с этим
Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

решите что вам необходимо остальное поможем закрыть ...

[Den_in]

Если честно, ничего не понимаю в этих службах , у компьютера 2 учетные записи: моя - как Админ и детская-общая, загружаем и играем игрушки с дисков, пользуемся инетом, хотя перешел с IE на FireFox (правда ли что лисица лучше?), ну и с админовской учетной записи периодически чищу диски и запускаю разные программки. Недавно поставил ZoneAlarm.

[V_Bond]

тогда выполните скрипт...

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

а лиса действительно лучше

[Den_in]

Последний вопрос: после всех действий перестали переключаться пользователи в меню Пуск. Т.е. для того чтобы сменить пользователя, приходится делать полный выход из учетной записи, что неудобно, и можно ли оставить автозапуск с дисков?

[V_Bond]

включаем автозапуск ..

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 1);
RebootWindows(true);
end.

включаем быструю смену пользователя ...
Выберите Start\Control Panel (Пуск\Панель управления).
В окне Category (Категория) щелкните на User Accounts (Учетные записи пользователя).
Выберите Change the way users log on or off (Смена пользователя при входе или выходе из системы).
Поставте флажок Use Fast User Switching (Использовать быструю смену пользователя) и щелкните на Apply Options (Применить).
Нажмите ОК для того, чтобы закрыть все окна.

[Den_in]

Не могу включить быструю смену пользователей: ставлю флажок, жму применить, закрываю все окна, пробую сменить пользователя - нет результата, при входе в учетные записи еще раз - флажка на быстрой смене уже почему-то нет

[drongo]

Не помню точно, но вроде службу терминалов надо включить что бы это не безопасная опция работала.
Пробуйте:

begin
 SetServiceStart('TermService', 1);
RebootWindows(true);
end.

P.S."Моя как админ"- надо про это забыть админ только для настройки программ, а не для работы и гулянья по инету. Заводите ещё одного юзера для себя.