Перехват управления WM-keeper троянской программой

[Storog]

Арбитраж WEBMONEY с упорством в третий раз заявляет, что зафиксирован перехват управления моим WM-keeper троянской программой. Соответственно блокирует пользование кипером. В качестве последнего способа ссылается на ваш сайт. В качестве антивирусника пользуюсь AVP 8.0.0.506 с ежедневным обновлением баз и еженедельной полной проверкой всех дисков. Дважды проверял полностью винт KIS2009 "снаружи", то есть подключая его вторичным к другому компу - нет ничего. Помогите пожалуйста.

[AndreyKa]

Отключите восстановление системы! См. Приложение 1 Правил.

У вас есть флешка и она подключается как диск F? Если да, то подключите её.
Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
 SetAVZPMStatus(True);
 QuarantineFile('F:\WINDOWS\system32\CTFMON.EXE','');
 QuarantineFile('c:\s','');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('f:\windows\system32\userinit.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
BC_QrFile('C:\WINDOWS\system32\ntos.exe');
 DeleteService('Dex48');
 BC_DeleteSvc('Dex48');
 BC_DeleteSvc('Uvh27');
 BC_DeleteSvc('Xvx25');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Dex48.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Dex48.sys');
 SysCleanAddFile('C:\WINDOWS\system32\ntos.exe');
 BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
 SysCleanAddFile('\s');
 DeleteFile('f:\windows\system32\userinit.exe');
 DeleteFile('F:\WINDOWS\system32\CTFMON.EXE');
 SysCleanAddFile('C:\Program Files\Corel\Corel Graphics 12\Languages\EN\Programs\Registration.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

[Storog]

Готово. Только диски в системе :
С - системный
D,E - данные
F - CD-Rom
G - виртуальный диск, создаётся при запуске веб-сервера DENWER, в процессе обследования запущен не был ни в 1 ни во 2 раз
H - флешка

Да, и использую PuntoSwitcher - автопереключатель клавиатуры

[Storog]

После второй проверки ещё раз перегрузился - после перезагрузки кто-то запросил подключение к интернету (раньше такого не было - везде отключал) и - только обратил внимание - в трее нет значков сети! (подключение по локальной сети и высокоскоростное) - хотя в свойствах обоих подключений стоит "показывать значки"!

[AndreyKa]

В реестре были следы троянов, но их самих похоже уже нет.

Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 ClearQuarantine;
 DeleteService('Xvx25');
 DeleteService('Uvh27');
 BC_DeleteSvc('Xvx25');
 BC_DeleteSvc('Uvh27');
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Установите Adobe Acrobat Reader 9.1 или удалите старый.

Выполните процедуру описанную в первом сообщении: http://virusinfo.info/showthread.php?t=3519

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены