Вирус Winlogon.exe + закрываются страницы

[RRRomkaa]

1) В папке WINDOWS появился файл winlogon.exe - ~45 кб
В процессах появляется несколько(2-4) процессов - "winlogon.exe" едят по 20 мб ресурсов. Пробовал убрать из автозагрузки, чистил реестр - не помогло, всё заново восстанавливалось.Нужна помощь!

2) Страницы интернета начали закрываться сами по себе, ссылаются на ошибку отправить отчёт или нет. Сразу после этого в процессах появляются процессы cmd.exe Также не грузятся фотки и не все ссылки работают адекватно.
Заранее спасибо!

Логи в сообщении ниже.

[RRRomkaa]

Логи

[Гриша]

Отключите Антивирус и Интернет!

Пофиксить

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKLM\..\Run: [runwinlogon] C:\WINDOWS\winlogon.exe
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
O20 - AppInit_DLLs:  
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\winlogon.exe');
QuarantineFile('C:\WINDOWS\system32\baseunjq32.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Sqd35.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
QuarantineFile('c:\windows\winlogon.exe','');
DeleteFile('c:\windows\winlogon.exe');
DeleteService('Sqd35');
DeleteFile('C:\WINDOWS\System32\Drivers\Sqd35.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Sqd35 ');
BC_Activate;
ExecuteRepair( 1);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:http://virusinfo.info/upload_virus.php?tid=22199

Затем такой скрипт в AVZ:

procedure ParseString (S : TStringList; SS : String; SSS : String );
var i,l : integer;
begin
  i := Pos(SSS,SS); l := Length(ss);
  If l > 1 Then begin If i=0 Then S.Add(ss); If i>0 Then begin
  s.Add(Copy(ss,1,i-1)); ParseString(S,Copy(ss,i+1,l-i+1),SSS) end; end;
end;
var SL,SF : TStringList; SS, SSS : String; i : integer;
begin
 SS := '';  SSS := ''; SL := TStringList.Create; SF := TStringList.Create;
 SS := RegKeyStrParamRead ('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems','Windows');
 ParseString (SL,SS,' ');
 for i := 0 to SL.Count - 1 do Begin
   SS := SL[i];
   If Pos('ServerDll=base',SS) > 0 Then Begin
     If SS <> 'ServerDll=basesrv,1' Then Begin
	 AddToLog('Infected "SubSystem" value : ' + SS);
	 if MessageDLG('Fix "SybSustem" parametrs  ?', mtConfirmation, mbYes+mbNo, 0) = 6 then  Begin
	 SSS := SL[i]; SL[i] := 'ServerDll=basesrv,1'; AddToLog('User select "Fix" option.'); end;
     end;
  end;
 end;
 SS := ''; for i := 0 to SL.Count - 1 do Begin SS := SS + SL[i]; If SL.Count - 1 > i Then SS := SS + ' '; end;
 If SSS <> '' Then Begin
  i := Pos(',',SSS); If i = 0 Then i := Length(SSS);
  SSS := Copy(SSS, Pos('=',SSS) + 1, i - Pos('=',SSS)-1);
  AddToLog('Infection name : ' + SSS + '.dll');
  SetAVZGuardStatus(True);
  If FileExists('%WinDir%' + '\system32\' + SSS + '.dll') = true then DeleteFile('%WinDir%' + '\system32\' + SSS + '.dll');
  RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems', 'Windows', 'REG_EXPAND_SZ', SS);
  SaveLog(GetAVZDirectory + 'SubSystems.log');
  RebootWindows(false);
 end;
SL.Free; SF.Free;
End.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Очистите временные папки,кеш браузера и повторите логи.

[RRRomkaa]

Всё сделал, проблем вроде нет. Вирус нейтрализован. Эксплорер работает. Спасибо огромное !! Логи ниже.

[Гриша]

baseunjq32.dll-Trojan.Win32.Agent.fxk
ntos.exe-Trojan-Spy.Win32.Zbot.bdr
winlogon.exe-Trojan.Win32.Pakes.ctp

Пришлите вот этот файлик Ip6Fw.sys согласно приложению 2 правил.

Вы второй большой скрипт выполняли?выполните его еще раз в AVZ и повторите логи.

[RRRomkaa]

А откуда собственно можно файлик этот взять ? я его с помощью поиска не обнаружил. Второй большой скрипт выполнил. Логи прлиложил как раз после него.
Скрипт повторил. Прилагаю ещё раз логи.

[V_Bond]

пуск - выполнить - regedit сделайте экспорт этой ветки реестра , запакуйте и пиложите.. (убедимся что все в порядке)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Session Manager\SubSystems]

[RRRomkaa]

вот собственно ветвь. Всё в порядке ?

[V_Bond]

выполните скрипт ...

begin
 DeleteFile('C:\WINDOWS\system32\baseunjq32.dll');
end.

virusinfo_syscheck.zip повторите ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\baseunjq32.dll - Trojan.Win32.Agent.fxk (DrWEB: Trojan.Okuks.based)
  2. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.bdr (DrWEB: Trojan.PWS.Wow.669)
  3. c:\\windows\\winlogon.exe - Trojan.Win32.Pakes.ctp (DrWEB: Trojan.Packed.573)
  4. \\2008-04-28\\bcqr00001.dta - Trojan.Win32.Agent.fxk (DrWEB: Trojan.Okuks.based)
  5. \\2008-04-28\\bcqr00002.dta - Trojan.Win32.Agent.fxk (DrWEB: Trojan.Okuks.based)
  6. \\2008-04-28\\bcqr00003.dta - Trojan-Spy.Win32.Zbot.bdr (DrWEB: Trojan.PWS.Wow.669)
  7. \\2008-04-28\\bcqr00004.dta - Trojan-Spy.Win32.Zbot.bdr (DrWEB: Trojan.PWS.Wow.669)