Dialer.Micro.origin

[tutank]

Здравствуйте, уважаемые специалисты!
Проблема следующая: около недели назад одновременно появились две проблемы - я попытался, но не смог проверить почту и микрофон в гарнитуре перестал работать. Объясню чуть подробнее. У меня в Оутлуке два удостоверения - для меня и для брата. Учетные записи у нас открыты на одном и том же сайте. Я проверил получение почты по своей учетной записи - все было в порядке, а при проверке почты по учетной записи брата при нажатии кнопки "Получить все" появлялось окошко, где просили ввести учетную запись и пароль (хотя все поля были заполнены правильным логином и паролем). Причем в настройках у меня стоит "Запомнить" и меню появляться не должно. При подтверждении логина и пароля появлялось сообщение об ошибке соединения с почтовым сервером. На компьютере стоит Касперский v.6.0.1.411. Я проверил отчеты. В отчете по защите нашел, что было "обнаружено потенциально опасное ПО Hidden install" - t0.exe.Касперский его удалил. Но через поиск фалов папке system32 я нашел t0.exe и t0 - файл параметров конфигурации. Удалять не стал. В интеренете нашел информацию, что после этого пропадает доступ в интернет. Кроме того появилось сетевое подключение, причем модемное dial-up, хотя у меня на компьютере никакого диал-апа отрадясь не было (DSLом пользуюсь). Я это соединение удалил. Да и еще как я писал выше, перестал работать микрофон в гарнитуре, подключенный на передней панели. Я не уверен, но эти два события может как то связаны? У меня есть еще микрофон, подключенный к материнке. Там он работал и работает. И микрофон из гарнитуры через то же гнездо работал. А вот в передней панели оба перестали работать. Я перустанавливал несколько раз дрова. Сначало не помогло, а потом вдруг микрофон заработал. Теперь опять перестал. В интернете я нашел пост, что у кого-то был троян, который аудио-настройки сбивал постоянно, в частности микрофон тоже не работал. "Железо" само по себе рабочее. В общем потом я нашел ваш сайт, прочитал все рекомендации, сохранил их, закачал все необходимые программы. Стал делать все по пунктам. Обновленный Касперский ничего не нашел. DrWeb, записанный предварительно на диск, нашел 2 файла Trojan.Proxy.1824 и 5 штук Dialer.Micro.origin . Троянов он удалил, а вот Dialer не стал, так как они неизлечимы (находяться по адресу C:\System Volume Information\_restore{652657C9-08D1-48C5-B556-C6D2663E035B}\). DrWeb их перенес (куда, я так и не понял, ведь программа была запущена с диска, а значит папок с карантином создано не было). Я собрался все делать дальше по вашим правилам, но пункт 7 гласит - Отключите восстановление системы. В ссылке же говорится, что "квалифицированным пользователям, а также всем в случае когда на компьютере имеется ценная информация не рекомендуется сразу отключать восстановление системы. Предварительно стоит убедиться что директория восстановления системы заражена". Я не особенно квалифицированный, но у меня на компьютере действительно есть ценная информация, а неизлечимые файлы, как я понял как раз и дирректории восстановления системы. Подскажите, пожалуйста, что мне делать дальше, чтобы и данные сохранить и компьютер почистить от вирусов и от всего остального?
P.S. Пока набирал Вам сообщение у меня стало соединение обрываться через определенное время, а потом не восстанавливалось. Я первый раз использовал WinsocxpFix, а потом функцию исправления в самом соединении. Вроде помогло. Но потом опять оборвалось. меня ни разу до этого соединение само не обрывалось. Может ваш сайт кикает за простой? Или проделки вируса?

[pig]

Для начала выаолните правила. Дословно.

[tutank]

Все понял. Хотел просто удостовериться, что делаю все как надо.

[Muzzle]

В логе всё чисто,пришлите файлы t0.exe и t0,предварительно заархивируйте их в zip архив с паролем "virus" и отправьте по ссылке http://virusinfo.info/upload_virus.php?tid=15045
Вы вернули все настройки вашего провайдера?ибо после применения утилиты WinsocxpFix они сбросились.

[tutank]

Да, все настройки вернул. У меня DSL-модем работает через сетевую карту, так что настройки обнулились у этого соединения (второе соединение - с интернетом - не сбилось). Я их восстановил. Запрошеные файлы через AVZ нашел, поместил в карантин и заархивировал как Вы просили. Буду ждать дальнейших инструкций.

[Muzzle]

айпи адрес днс сервера(172.16.2.1) точно должен быть выставлен в ручную,а не выдаваться в автоматически?и файлики t0.exe и t0 можете удалить.

[tutank]

Файлы t0.exe и t0 через AVZ (в карантине) удалил. Остался t0.ink в Document and setings. Его нужно удалять? Что мне делать дальше?

[V_Bond]

пришлите файлик по правилам (на всякий случай) ....

[tutank]

Файл отослал по вышеуказаной ссылке.
У меня до сих пор отключено автовосстановление. Его уже можно включить или вообще не стоит?
И у меня есть еще несколько вопросов, если Вы не против.
1) У меня все еще не работает микрофон на передней панели. Может это быть последствием вируса? Может как-нибудь можно эти настройки восстановить? Или этот вопрос уже не по адресу?
2) Как мне обезопасить себя от повторения подобного? Ведь антивирус пропустил трояна? Может мне отключить ненужные службы и что-то еще? Было бы замечательно, если бы в рубрике Чаво был размещен совет или скрипт для AVZ, который бы отключал ненужные рядовому пользователю сервисы, являющиеся лазейкой для вирусов.

Добавлено через 10 минут

Да, еще один момент. В Documents and setings нашел папку карантина от DRWeb CureIt. Так вот там те пять зараженных файлов из папки _restore + descript.ion до сих пор находятся (вот куда он их поместил!). Что делать с ними?

[V_Bond]

1 присланный файлик чистый ...
2 восстановление можно включить ...
3 что из этого используется ?.... остальное поможем отключить ....
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
4 фалы вкарантине веба можно удалить ....

[tutank]

Компьютер у меня домашний, поэтому из указанных служб я ни одной не знаю. Ни разу не пользовался. Из Безопасности, думаю, можно все отключить. И автозапуск тоже. Буду через setup ручками запускать.

[Bratez]

Буду через setup ручками запускать.

Ну не все так сурово
По двойному щелчку на иконке диска autorun будет запускаться по-прежнему.

[V_Bond]

выполните скрипт ....

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
RebootWindows(true);
end.

[tutank]

Скрипт выполнил. Перезагрузился. Но до выполнения скрпта и сразу после перезагрузки KAV выдал предупреждение о том, что msmessenger.exe пытался запуститься и вмешаться в работу системы. Я его запретил. Как эту службу можно вообще отключить?

[Bratez]

Если речь идет о программе Windows Messenger, то запустите ее через меню "Пуск - Программы" и в настройках уберите галочку "Запускать при старте Windows". А можно и вовсе от него избавиться через Установка/Удаление программ - Установка компонентов Windows.

[tutank]

Тьфу, тьфу, тьфу. Ничего мой компьютер болше не беспокоит. Дай бог, чтобы надолго. Спасибо большое за помощь и оперативность, с которой откликнулись на проблему. Как часто можно обращаться к вам для профилактики? Один раз в месяц не будет часто?
И еще как мне закрыть тему, поставив значок с большим пальцем вверх?

[Bratez]

Обращайтесь в любое время, если появится повод для беспокойства.

[drongo]

Для профилактики нужно под юзером сидеть с ограниченными правами , а не под админомПалец модераторы могут менять, сейчас сделаю
P.S.не забываем нажимать на 5 :http://www.eaward.ru/listprojs.php?w...at=1&proj=2038

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены