Warning! Spyware detected on your computer!

[daemon2012]

Зздравствуйте.

Вчера началась вся эта канитель с заставками, скринсейвером и обрывом инета. Всё как и в соседних темах - заставка Warning! Spyware detected on your computer!, скринсейвер с BSoD, заблокированные вкладки в параметрах экрана. Сначала посидел сам с AVZ, потом уже шерстить форму начал. Вроде бы избавился от проблем, но не факт. Можно, пожалуйста, посмотреть логи и вынести вердикт?

Аутпост накрылся, почему-то. Или это я ступил. Но с ним комп перестал работать, вообще не загружался. Пришлось через сейфмод снести. Показывал порядка 150 открытых UDP портов от имени процесса System и напрочь вешал машину.

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('E:\WINDOWS\system32\blphc76pj0er8r.scr','');
 QuarantineFile('E:\WINDOWS\system32\ntos.exe','');
 DeleteFile('E:\WINDOWS\system32\ntos.exe');
 DeleteFile('E:\WINDOWS\system32\blphc76pj0er8r.scr');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

[daemon2012]

Всё сделал. Правда, не понял, какие именно файлы слать из карантина, так что отправил весь за сегодняшнее число. Нужно было файлы из скрипта? так их не нашёл.
Ещё вот что непонятно:
1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8A9621F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 8A9621F8 -> перехватчик не определен
\driver\tcpip[IRP_MJ_CREATE] = 8987194E -> перехватчик не определен

Нашёл где-то на этом форуме похожую тему, но нефига не разобрался до конца. Даемон и прочие эмуляторы удалены.

[V_Bond]

пофиксите ...

R3 - URLSearchHook: (no name) - {442f2ebc-e1f0-48e8-8473-f8221ba740ff} - (no file)

перехваты у вас от демона ... которай у вас работает ....

[daemon2012]

пофиксил. спасибо большое.
Вообще странно, я же все даемоны проанисталил, папки потёр, через регклинер всё потёр тоже.
ресурс у вас хороший. раньше часто просто читал, теперь решил обратиться.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 39
• В ходе лечения обнаружены вредоносные программы:
  
  1. e:\\system volume information\\_restore{03f4d3fa-685a-4d84-8509-e301b7b1fee9}\\rp5\\a0005162.exe - Trojan-Downloader.Win32.Agent.aayp (DrWEB: Trojan.DownLoad.2077)