Синий экран с надписью обнаружено шпионское ПО.

[-SAS-]

При загрузке системы появляется синий экран
с надписью
Warning! Spyware detected on your computer!
Install an antivirus or spywareremover to clean your computer.

В свойствах экрана не доступны закладка "Заставка" и "Рабочий стол"
Касперский тоже в автозагрузку не выходит.

[Макcим]

Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\WINDOWS\system32\blphc7olj0eg69.scr','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
 QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\system32\blphc7olj0eg69.scr');
 DeleteFile('C:\WINDOWS\services.exe');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

"Пофиксите" в HijackThis

O2 - BHO: myiebho - {7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD} - %SystemRoot%\system32\vmmreg32.dll (file missing)
O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServices: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServicesOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKCU\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKCU\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] %SystemRoot%\system32\winhelp32.exe
O4 - HKUS\S-1-5-18\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')

Загрузите карантин согласно приложению №3 правил.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.

[-SAS-]

Добрый день!

Максим, сделал как вы написали:
выполнил скрипт, после этого хотел пофиксить в HijackThis, но ссылок этих уже не было

на данный момент, Касперский запускается с автозагрузки и появляется в трее, Kerio WinRoute Firewall тоже запускается но в трее не появляется, не запускаются программы из Автозагрузки (MailServer)

синий экран не пропал, также остались заблокированными закладки "Заставка" и "Рабочий стол".

Новые логи

[Макcим]

Выполните скрипт в AVZ

begin
 ExecuteRepair(6);
 ExecuteRepair(8);
 RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
 RebootWindows(true);
end.

Добавлено через 5 минут

на данный момент, Касперский запускается с автозагрузки и появляется в трее, Kerio WinRoute Firewall тоже запускается но в трее не появляется

До вируса они работали вместе без проблем?

не запускаются программы из Автозагрузки (MailServer)

Так добавьте в автозагрузку.

синий экран не пропал

В смысле BSOD?

также остались заблокированными закладки "Заставка" и "Рабочий стол"

Скрипт должен исправить.

[-SAS-]

Выполните скрипт в AVZ

Скрипт выполнил.

До вируса они работали вместе без проблем?

Да работали вместе нормально.

Не запускаются программы из автозагрузки

Так добавьте в автозагрузку.

В смысле эти программы были (и есть) указанны в автозагрузке (Пуск-> Программы->Автозагрузка)
и почему-то не стартуют при перезагрузке.

В смысле BSOD?

А что такое BSOD?
Синий экран тот о котором речь шла в первом посте с надписью
Warning! Spyware detected on your computer!
Install an antivirus or spywareremover to clean your computer.

[Макcим]

В смысле эти программы были (и есть) указанны в автозагрузке (Пуск-> Программы->Автозагрузка)
и почему-то не стартуют при перезагрузке.

Выполните скрипт в AVZ

begin
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
RebootWindows(true);
end.

Синий экран тот о котором речь шла в первом посте с надписью

Попробуйте сменить картинку рабочего стола.

[-SAS-]

Скрипт выполнил.
Программы из (Пуск-> Программы->Автозагрузка) все равно не стартанули.

Kerio WinRouteFirewall тоже не стартует, надо руками его запускать и многие еще программы которые раньше стартовали сейчас их нет, может еще какой запрет где-то остался?

Добавлено через 2 часа 3 минуты

Запустил сейчас Касперского на поиск вирусов
обнаружено: троянская программа Trojan-Downloader.Win32.Mutant.axi
Файл: C:\Documents and Settings\vladimir\S87ekhV.exe//PE_Patch//MewBundle//MEW//#

[Rene-gad]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\blphcjtkj0e7cp.scr');
 DeleteFile('C:\WINDOWS\system32\lphcjtkj0e7cp.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Повторите логи.

[-SAS-]

Скрипт выполнили.
Программы из (Пуск-> Программы->Автозагрузка) все равно при загрузке сами не запускаются.

Логи повторяем.

[Rene-gad]

Выполните скрипт в AVZ

begin
ExecuteRepair(1);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.

Содержимое вышеуказанной папки запакуйте в архив и прикрепите к сообщению (там д.б. только *.lnk - файлы).

[-SAS-]

Высылаю архив с папкой автозагрузка

[Rene-gad]

Не называйте файлы русскими буквами, плиз.
Повторите закачку - я архив не могу открыть.

[-SAS-]

ок, повторяю

о блин, теперь у меня проблемы не могу вставить переименованный файл auto_run.zip

[-SAS-]

вот так

[Rene-gad]

вот так

Выкиньте файл

ofmsrv

фтопку.А это что -вся Автозагрузка? Тогда ясно, почему ничего не стартует - потому что нечему стартовать.
Посмотрите еще папки автозагрузки в других учетках.
Скачайте отсюда: http://www.nbnews.info/download/code...tarter-5-6-2-8
Тут видно у кого что в Автозапуск прописано+можно самому что надо прописать.

[pig]

OFMSRV, похоже, и есть искомый MailServer. Надо смотреть в реестре, куда показывают ключи:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Common Startup

и

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Startup

[-SAS-]

вот еще из общей автозагрузки

Ну да Ofmsrv это и есть мэйлсервер, поэтому он и стоял в автозагрузке, сейчас его приходится пускать руками, просто выбирая из этой же папки Пуск - Автозагрузка.

[-SAS-]

OFMSRV, похоже, и есть искомый MailServer. Надо смотреть в реестре, куда показывают ключи:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Common Startup

Common Startup C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка

и

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Startup

Startup C:\Documents and Settings\vladimir\Главное меню\Программы\Автозагрузка

[pig]

Хм. Похоже на правду. В MSConfig, что ли, ещё заглянуть - вдруг там вырублено. Невзирая на наличие ярлыков...

[-SAS-]

вот