svchost и проблемы с экспловером

[Val64]

Работаю в локальной сети - сервер и три компьютера. Никаких наворотов - только общий доступ к инету и принтеру.
Изменились настройки IE - отключилась JAVA - как подключить обратно - х.з. (чайник я)
В-общем приходится сидеть в Опере, но и она начинает дурить
Короче не все ссылки открываются - это в IE (может из-за той же JAVA), пропал поиск в Оффисе.
Да - крякнул Касперский, щас без Антивируса

Будете объяснять как лечить - подоходчивее пожалуйста

[akok]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Надать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('NetDDEUPS', 4);
 StopService('NetDDEUPS');
 QuarantineFile('c:\windows\system32\msab.exe','');
 QuarantineFile('svchost.exe','');
 QuarantineFile('rdpclicw.dll','');
 QuarantineFile('scp3sdhc.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\rtifdh.sys','');
 QuarantineFile('C:\Program Files\NetPanel\IEHelper.dll','');
 QuarantineFile('C:\WINDOWS\system32\2052l.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\rtusb.SYS','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
 QuarantineFile('c:\windows\system32\msjh32.dll','');
 QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
 QuarantineFile('c:\windows\soundman.exe','');
 QuarantineFile('c:\windows\system32\svchost.exe','');
 DeleteFile('C:\WINDOWS\system32\cpadvai.dll');
 DeleteFile('C:\WINDOWS\system32\2052l.exe');
 DeleteFile('c:\windows\system32\msjh32.dll');
 DeleteFile('scp3sdhc.dll');
 DeleteFile('rdpclicw.dll');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 DeleteService('NetDDEUPS');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_ImportALL;
 ExecuteRepair(6);
 ExecuteRepair(7);
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=16977

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

 	O2 - BHO: (no name) - {36DBC179-A19F-48F2-B16A-6A3E19B42A87} - (no file)
O20 - AppInit_DLLs: scp3sdhc.dll rdpclicw.dll
O20 - Winlogon Notify: ccfgcscd - C:\WINDOWS\
O20 - Winlogon Notify: dx8vndde - C:\WINDOWS\
O21 - SSODL: msjh32.dll - {34D5DEF9-1DA3-49E1-F83D-DA0875193340} - c:\windows\system32\msjh32.dll

Файл host вы патчили?
Повторите логи...

[Val64]

Спасибо за внимание.
Скрипт выполнил, карантин отправил.
Правда после скрипта - при перезагрузке завис на отключении сетевых подключений, пришлось по-жёсткому перезагружаться.
Потом начал фиксить. При первой попытке - комп вылетел на перезагрузку, со второй получилось, правда не нашёл строку
O20 - AppInit_DLLs: scp3sdhc.dll rdpclicw.dll
Получилась папка backups - что с ней делать?
А фраза:
Файл host вы патчили?
Повторите логи... - меня убила
Знать бы - чё это

[Bratez]

Получилась папка backups - что с ней делать?
А фраза:
Файл host вы патчили?
Повторите логи... - меня убила
Знать бы - чё это

backups пока не трогайте, после лечения можно будет удалить.
hosts стало быть не патчили, раз не знаете.
Повторить логи, значит заново выполнить п.8-13 правил и прикрепить полученные файлы.

[Val64]

Уфффф
Начал выполнять скрипт №3 - полезло окошко с ошибкой карантина - бесконечное...
перезагрузился, снова та жа беда.
Переустановил АВЗ в другом месте - пролезло
Высылаю

[rubin]

not-a-virus:AdWare.Win32.BHO.kl IEHelper.dll
Выполните

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 ClearHostsFile;
 DelCLSID('34D5DEF9-1DA3-49E1-F83D-DA0875193340');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\srv.sys','');
 QuarantineFile('C:\WINDOWS\system32\OPDSL.dll','');
 QuarantineFile('c:\windows\system32\msbk32.dll','');
 DeleteFile('c:\windows\system32\msbk32.dll');      
 DeleteFile('C:\Program Files\NetPanel\IEHelper.dll');  
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Новый карантин тоже пришлите

[Val64]

Докладаю - отправил по верхней ссылке

[V_Bond]

c:\windows\system32\msbk32.dll - Trojan.PWS.OnlineGames.OOX
C:\WINDOWS\system32\OPDSL.dll - чистый
srv.sys - прошел по базе безопасных ...
повторите логи ...

[Val64]

Короче всё - не даёт делать логи
Начинает вылазить многократное (бесконечное) окошко - ошибка в АВЗ по адресу 0040254С
Я и перегружался и переустанавливал АВЗ в разных местах - абзац в-общем

[V_Bond]

ну нечему не давать делать логи ....
- выполните стандартный скрипт 6 ...
если не поможет сделайте принтскрин ошибки авз ...
и приложите лог virusinfo_syscheck.zip

[Val64]

Ух поймал бы я этого рапространителя вирусов
Короче действовал так:
Скрипт №6, потом №3
Перезагрузка
№2 - посередь работы АВХ закрылась
Пришлось снова №6 и №2
Вот
До завтра

[Bratez]

Больше ничего подозрительного не видно.

Пофиксите в HijackThis:

O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\Program Files\NetPanel\IEHelper.dll (file missing)
O21 - SSODL: msbk32.dll - {34D5DEF9-1DA3-49E1-F83D-DA0875193340} - (no file)

Посмотрите, нужно ли вам что-либо из этого:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК

Лишнее отключим.

[Val64]

Пофиксил.
А насчёт служб - ничё не понимаю в этом
Комп рабочий - локальная сеть - сервер и 3 компа.
Основная общая инфа на сервере, но у меня на С и D тоже есть используемая всеми рабочая документация.
И ещё - как провериться, что я теперь чистый?

Добавлено через 3 часа 38 минут

Ну всё - нарисовали мне восклицательный палец, можно и забыть
Делаю проверку АВЗ. Она выдаёт:
Функция kernel32.dlloadLibraryExW (580) перехвачена, метод APICodeHijack.JmpTo[600D22FD]
Функция advapi32.dll:SystemFunction035 (619) перехвачена, метод APICodeHijack.JmpTo[600D1541]
Функция wininet.dll:InternetAlgIdToStringA (212) перехвачена, метод APICodeHijack.JmpTo[67001634]
Функция wininet.dll:InternetAlgIdToStringW (213) перехвачена, метод APICodeHijack.JmpTo[670017CF]
Это не страшно?

[PavelA]

Крипто Про есть на машине?

[pig]

Да.

O23 - Service: Служба инициализации Крипто-Про CSP (cpinit) - Компания Крипто-Про - C:\Program Files\Crypto Pro\CSP\cpinit.exe
O23 - Service: Служба хранения и использования ключей Крипто-Про CSP (cprmcsp) - Компания Крипто-Про - C:\Program Files\Crypto Pro\CSP\cprmcsp.exe

[Val64]

Всё правильно - есть

[PavelA]

Боюсь, что ее поломали. Удалили библиотеку C:\WINDOWS\system32\cpadvai.dll
Если будут проблемы, то можно попробовать восстановить из карантина.

[Val64]

Чё то не нашёл я такой библиотеки в Систем32
А крипто - наверно можно переустановить?
Или не поможет?

[PavelA]

Можно и переустановить. Так наверное надежное будет.

[Val64]

Спасибо.
Сделаем