Требуется помощь

[sergb]

не могу ни как побороть, после лечения все появляется снова

[Bratez]

Пофиксите в HijackThis:

O20 - Winlogon Notify: ati2paag - ati2paag.dll (file missing)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\w.exe','');
 QuarantineFile('C:\WINDOWS\system\1.exe','');
 QuarantineFile('c:\windows\system32\iexplorer.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
 QuarantineFile('C:\WINDOWS\system32\ati2psag.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\lrk.sys','');
 QuarantineFile('C:\WINDOWS\system32\tching.exe','');
 QuarantineFile('C:\WINDOWS\system32\snetcfg.exe','');
 QuarantineFile('C:\WINDOWS\system32\YoUsx\J002.exe','');
 QuarantineFile('C:\WINDOWS\system32\SafeTest.exe','');
 QuarantineFile('C:\WINDOWS\system32\realplay.exe','');
 QuarantineFile('C:\WINDOWS\system32\wItwp\J003.exe','');
 QuarantineFile('C:\WINDOWS\system32\Events.exe','');
 QuarantineFile('C:\WINDOWS\system32\oOu\J002.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\lrk.sys','');
 QuarantineFile('c:\windows\system32\yzerhw.dll','');
 QuarantineFile('c:\windows\system32\fyddos.dll','');
 QuarantineFile('C:\WINDOWS\system32\cmms.exe','');
 QuarantineFile('C:\WINDOWS\ActiveX\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\migpwd.exe','');
QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe','');
DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
DeleteFile('C:\WINDOWS\system32\migpwd.exe');
 DeleteFile('C:\WINDOWS\ActiveX\svchost.exe');
 DeleteFile('C:\WINDOWS\system32\cmms.exe');
 DeleteFile('c:\windows\system32\fyddos.dll');
 DeleteFile('c:\windows\system32\yzerhw.dll');
 DeleteFile('C:\WINDOWS\TEMP\BClib\dp1.fne');
 DeleteFile('C:\WINDOWS\TEMP\BClib\Exmlrpc.fne');
 DeleteFile('C:\WINDOWS\TEMP\BClib\krnln.fne');
 DeleteFile('C:\WINDOWS\system32\oOu\J002.exe');
 DeleteFile('C:\WINDOWS\system32\Events.exe');
 DeleteFile('C:\WINDOWS\system32\wItwp\J003.exe');
 DeleteFile('C:\WINDOWS\system32\realplay.exe');
 DeleteFile('C:\WINDOWS\system32\SafeTest.exe');
 DeleteFile('C:\WINDOWS\system32\YoUsx\J002.exe');
 DeleteFile('C:\WINDOWS\system32\snetcfg.exe');
 DeleteFile('C:\WINDOWS\system32\tching.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\lrk.sys');
 DeleteFile('C:\WINDOWS\system32\ati2psag.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
 DeleteFile('c:\windows\system32\iexplorer.exe');
 DeleteFile('C:\WINDOWS\system\1.exe');
 DeleteFile('C:\WINDOWS\system32\w.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/forumdisplay.php?f=46).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[sergb]

вот новые логи, карантин тоже послал
Outpost Firewall все ругается на вирус, рисунок приложен

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\msrstart.exe','');
 DeleteService('hnrkpm');
 DeleteFile('C:\WINDOWS\system32\Drivers\lrk.sys');
 DeleteFile('C:\WINDOWS\system32\msrstart.exe');
 DeleteFileMask('%tmp% ','*.* ',true );     
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('hnrkpm');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[sergb]

вот новые логи и карантин, но все равно все просит, прикладываю

[Гриша]

Скачайте этот AVZ http://depositfiles.com/files/821x5y5lf

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('hnrkpm');
 DeleteFile('C:\WINDOWS\TEMP\BClib\dp1.fne');
 DeleteFile('C:\WINDOWS\TEMP\BClib\Exmlrpc.fne');
 DeleteFile('C:\WINDOWS\TEMP\BClib\krnln.fne');
 DeleteFile('C:\WINDOWS\system32\Drivers\lrk.sys');
 DeleteFileMask('%tmp% ','*.* ',true );     
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('hnrkpm');    
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[sergb]

вот логи, и все время в интернет эксплоере стартовая страница все эта выскакивает, как ни удаляешь ее

[PavelA]

Отключить Spybot. Сменить стартовую страницу и перезагрузиться, не включая Spybot.
Он может наблюдать за этим.

[sergb]

а как с логами

Добавлено через 3 минуты

прога Trojan Remover класная, еще остатки все дочистила,

Добавлено через 4 минуты

один фиг, сайт этот ставит по умолчанию

[PavelA]

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\yzerhw.dll','');
 QuarantineFile('FCI.sys','');
 DeleteService('FCI');
 QuarantineFile('C:\WINDOWS\system32\IqiPrFK.dll','');
 DeleteFile('C:\WINDOWS\system32\Drivers\FCI.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Селать новые логи.

[sergb]

все равно как не вырезаешь из реестра, все равно на эту стартовую страницу делает

[sergb]

вот логи и эту он гадость кто-то пишет, т.к программа просит разрешения на изменения, если жмешь запретить, то можно до бесконечности нажимать

[Bratez]

прога Trojan Remover класная, еще остатки все дочистила

"Остатков" в ваших логах до сих пор немеряно. При выполнении скриптов надо было отключать антивирус и Аутпост, а все эти спайботы вовсе удалить, больше мешают...

[sergb]

все отключено при выполнениии скриптов

[sergb]

удалил и сделал новые логи

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{72853161-30C5-4D22-B7F9-0BBC1D38A37E}');
 DeleteService('BSServerName');
 DeleteService('FCI');
 DeleteFile('C:\WINDOWS\system32\IqiPrFK.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\lrk.sys');
 DeleteFile('C:\WINDOWS\System32\FYDDOS.dll');
 DeleteFile('C:\WINDOWS\System32\yzerhw.dll');
 DeleteFile('C:\WINDOWS\system32\msrstart.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('BSServerName');
BC_DeleteSvc('FCI');    
BC_Activate;
RebootWindows(true);
end.

Сделайте поную проверку AVPTool и повторите логи...

[sergb]

проверил, нашел еще гадость, вот новые логи

[Bratez]

Теперь все нормально.
Можно еще эту строчку пофиксить для порядка:

O20 - Winlogon Notify: ati2paag - C:\WINDOWS\

Рекомендуется установить SP3 + последующие обновления.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 104
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system\1.exe - Trojan.Win32.Agent.brnh
  2. c:\windows\system32\cmms.exe - Trojan-Dropper.Win32.Agent.ahfv
  3. c:\windows\system32\drivers\lrk.sys - Trojan-Downloader.Win32.RtkDL.fms
  4. c:\windows\system32\events.exe - Rootkit.Win32.Agent.hgy
  5. c:\windows\system32\fyddos.dll - Trojan-Downloader.Win32.Small.ajfl
  6. c:\windows\system32\msrstart.exe - Trojan.Win32.Agent.brnj
  7. c:\windows\system32\safetest.exe - Trojan-Dropper.Win32.Agent.ahfw
  8. c:\windows\system32\snetcfg.exe - Rootkit.Win32.Agent.hgy
  9. c:\windows\system32\tching.exe - Trojan.Win32.Agent.brni
  10. c:\windows\system32\w.exe - Trojan-PSW.Win32.Delf.dkb
  11. c:\windows\system32\yzerhw.dll - Backdoor.Win32.PcClient.admy

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !