"Windows Security Alert"

[svm]

Добрый вечер,
проблема в следующем:
Виндоус загружается только в сейф моде.
После удаления НОД32, загружается нормально, периодически выскакивает окно "Windows Security Alert".
Отключить восстановление системы не удается - "Операция отменена вследствие действующих для компьютера ограничений. Обратитесь к администратору"
В остальном всё сделал по "Правилам", надеюсь получилось.
Логи отправляю.
Жду ответа, Спасибо.

[V_Bond]

пофиксите...

F2 - REG:system.ini: Shell=Explorer.exe C:\WINXP\System32\printer.exe
O4 - HKLM\..\Run: [WinAVX] C:\WINXP\System32\WinAvXX.exe
O4 - Startup: system.exe
O4 - Global Startup: autorun.exe
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

выполните скрипт...

begin
SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 ClearHostsFile;
 QuarantineFile('C:\WINXP\System32\c++.exe','');
 QuarantineFile('C:\WINXP\System32\WinAvXX.exe','');
 QuarantineFile('C:\Documents and Settings\Админ.SAMSUNG-WONL5HV\Главное меню\Программы\Автозагрузка\system.exe','');
 QuarantineFile('C:\Documents and Settings\All Users.WINXP\Главное меню\Программы\Автозагрузка\autorun.exe','');
 QuarantineFile('C:\WINXP\System32\printer.exe','');
 DeleteFile('C:\WINXP\System32\printer.exe');
 DeleteFile('C:\Documents and Settings\All Users.WINXP\Главное меню\Программы\Автозагрузка\autorun.exe');
 DeleteFile('C:\Documents and Settings\Админ.SAMSUNG-WONL5HV\Главное меню\Программы\Автозагрузка\system.exe');
 DeleteFile('C:\WINXP\System32\WinAvXX.exe');
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
ExecuteRepair(6);
 ExecuteRepair(7);
 ExecuteRepair(8);
 ExecuteRepair(9);
 ExecuteRepair(11);
 ExecuteRepair(16);
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...
повторите логи..

[Shu_b]

Присланные
C:\WINXP\System32\WinAvXX.exe
C:\Documents and Settings\Админ.SAMSUNG-WONL5HV\Главное меню\Программы\Автозагрузка\system.exe
C:\Documents and Settings\All Users.WINXP\Главное меню\Программы\Автозагрузка\autorun.exe
C:\WINXP\System32\printer.exe
C:\System Volume Information\_restore{4ED09BCF-1321-43C0-9648-1A634CECC707}\RP18\A0002816.exe
C:\System Volume Information\_restore{4ED09BCF-1321-43C0-9648-1A634CECC707}\RP18\A0002817.exe

Scan taken on 16 Oct 2007 05:19:52 (GMT)
A-Squared Found nothing
AntiVir Found TR/Crypt.ULPM.Gen, BDS/Small.ckm
ArcaVir Found nothing
Avast Found Win32:Agent-EQU
AVG Antivirus Found nothing
BitDefender Found Trojan.Peed.JZ, DeepScan:Generic.Malware.SFdld!g.C6FDD804
ClamAV Found Trojan.Small-4169
CPsecure Found nothing
Dr.Web Found Trojan.Fakealert.357, Trojan.DownLoader.34918
F-Prot Antivirus Found Possibly a new variant of W32/Fathom.3-based!Maximus, Possibly a new variant of W32/Threat-HLLSI-based!Maximus
F-Secure Anti-Virus Found Backdoor.Win32.Small.ckm
Fortinet Found W32/Agent.ZGR!tr.bdr
Kaspersky Anti-Virus Found Backdoor.Win32.Small.ckm
NOD32 Found Win32/Small.CKM
Norman Virus Control Found W32/Malware.AZDN
Panda Antivirus Found Trj/Downloader.MDW
Rising Antivirus Found nothing
Sophos Antivirus Found Mal/HckPk-A, Mal/Generic-A
VirusBuster Found nothing
VBA32 Found Backdoor.Win32.Small.ckm

[svm]

После выполнения скриптов проблемы исчезли.
Посылаю новые логи.
Большое спасибо за помощь.

[PavelA]

Cureit машину проверяли? Если нет. то надо сделать проверку.
Не нравиться мне прямое чтение Doc-файлов.

Добавлено через 3 минуты

F2 - REG:system.ini: UserInit=C:\WINXP\system32\userinit.exe,C:\WINXP\System32\undname.exe,C:\WINXP\System32\c++.exe,C:\WINXP\System32\c++.exe,C:\WINXP\System32\c++.exe,

Что-то в этой строчке черезчур много всего.
Выполнить скрипт:

begin
 BC_DeleteSvc('FCI');
 BC_Activate;
 RebootWindows(true);
end.

Да и вобщем-то пора поставить СП2 + кучу обновлений после него.

[svm]

Скрипты выполнил.
Эти файлы doc восстанавливались с битого HDD, в Ворде не открываются.
Проверку CureIT и антивирусом сделаю.
Спасибо.

[PavelA]

Первая строчка может вырубить c++ и некую приблуду из Visio C.
С ней надо поосторожнее.

[svm]

CureITом проверил, вирусов не нашел.
Всё работает.
Большое спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\all users.winxp\\главное меню\\программы\\автозагрузка\\autorun.exe - Hoax.Win32.Renos.ly (DrWEB: Trojan.Fakealert.357)
  2. c:\\documents and settings\\админ.samsung-wonl5hv\\главное меню\\программы\\автозагрузка\\system.exe - Hoax.Win32.Renos.ly (DrWEB: Trojan.Fakealert.357)
  3. c:\\system volume information\\_restore{4ed09bcf-1321-43c0-9648-1a634cecc707}\\rp18\\a0002816.exe - Backdoor.Win32.Small.ckm (DrWEB: BackDoor.Kiddy)
  4. c:\\system volume information\\_restore{4ed09bcf-1321-43c0-9648-1a634cecc707}\\rp18\\a0002817.exe - Backdoor.Win32.Small.ckm (DrWEB: BackDoor.Kiddy)
  5. c:\\winxp\\system32\\printer.exe - Hoax.Win32.Renos.ly (DrWEB: Trojan.Fakealert.357)
  6. c:\\winxp\\system32\\winavxx.exe - Hoax.Win32.Renos.ly (DrWEB: Trojan.Fakealert.357)