Вирус (или его остатки), помогите удалить, пожалуйста!

[Lyta]

Добрый день!

Некоторое время назад при работе в интернет через 5-10 минут переставали открываться сайты и вылетало сообщение об ошибке. Поудаляла вирусы NOD32'ом и cureit'ом. Было что-то вроде win32.HLLW.Line.18 и win32.HLLW.Shadow.based. С интернетом стало получше, но все равно AVZ показывает что-то подозрительное, imho:

Функция NtCreateKey (29) перехвачена (80577237->F74D70E0), перехватчик spwq.sys
Функция NtEnumerateKey (47) перехвачена (805783AC->F74F5CA2), перехватчик spwq.sys

хотя вирусов вроде не обнаруживает.

Помогите, пожалуйста, почистить систему, не хочется винду переставлять. Параллельно пытаюсь скачать и установить обновления.

при попытке запуска проводника иногда вываливается:

"Explorer.EXE
Explorer.EXE - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобство.
Если работа не была закончена, рабочие данные могут быть утеряны. Для получения дополнительных сведений об этой ошибке ...."

[snifer67]

Пофиксить в HijackThis

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe
O2 - BHO: (no name) - {88888888-8888-8888-8888-888888888888} - (no file)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 StopService('WinHelp32');
 QuarantineFile('C:\WINDOWS\system32\WinHelp32.exe','');
 DeleteFile('C:\WINDOWS\system32\WinHelp32.exe');
 DeleteService('WinHelp32');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('WinHelp32');
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.

ПК перезагрузится.

Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.
Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
Сделайте новые логи.

[Lyta]

похоже, все так же и осталось

[thyrex]

похоже, все так же и осталось

Что именно?

[Lyta]

spnw.sys не очень понятен, причем имя после перезагрузки каждый раз другое

Функция NtCreateKey (29) перехвачена (8057722F->F74D70E0), перехватчик spnw.sys
Функция NtEnumerateKey (47) перехвачена (805783A4->F74F5CA2), перехватчик spnw.sys
Функция NtEnumerateValueKey (49) перехвачена (8058F45F->F74F6030), перехватчик spnw.sys
Функция NtOpenKey (77) перехвачена (80571CB4->F74D70C0), перехватчик spnw.sys
Функция NtQueryKey (A0) перехвачена (80577FA4->F74F610, перехватчик spnw.sys
Функция NtQueryValueKey (B1) перехвачена (805720F8->F74F5F8, перехватчик spnw.sys
Функция NtSetValueKey (F7) перехвачена (8057FF0B->F74F619A), перехватчик spnw.sys
Проверено функций: 284, перехвачено: 7, восстановлено: 0
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Анализ для процессора 2
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Поиск маскировки процессов и драйверов завершен
Драйвер успешно загружен
1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8AA4F1F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 8AA4F1F8 -> перехватчик не определен

[thyrex]

spnw.sys не очень понятен

Это дитя эмулятора дисков sptd.sys

Остальное тоже нормально

[Lyta]

Благодарю!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\winhelp32.exe - Packed.Win32.Katusha.e ( BitDefender: Gen:Trojan.Heur.GM.0000036128, AVAST4: Win32:Patched-JZ [Trj] )