второй компьютер: самопроизвольные перезагрузки

[agl]

Добрый день!
Спасибо за помощь по поводу компьютера, рассылавшего почту, теперь второй компьютер. Он тоже раньше рассылал почту, после включения firewall перестал. С прошлой недели время от времени самопроизвольно перегружается ("ошибка в модуле services.exe"), давая 60 секунд на сохранение
Выполнил 3 скрипта, в процессе почистился один вирус:
[InfectedFile]
Src=C:\System Volume Information\_restore{44B99007-EBB4-40B1-BAA8-D8018BCFD061}(2)\RP228\A0036256.exe
Infected=avz00001.dta
Virus=Trojan-PSW.Win32.Sinowal.bh
QDate=02.01.2007 13:40:00
Size=75776
FileDate=27.12.2006 14:52:48
AVZVer=4.23
MainAVBase=29.12.2006 9:22:30


С тех пор копьютер пока самопроизвольно не перегружался.
Посмотрите, пожалуйста, все ли в порядке теперь.
Огромное спасибо!
Геннадий

[AndreyKa]

Закройте все программы.
Отключитесь от Интернета.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\lzx32.sys','');
QuarantineFile('C:\WINDOWS\system32:lzx32.sys','');
DeleteFile('C:\WINDOWS\System32\lzx32.sys');
DeleteFile('C:\WINDOWS\system32:lzx32.sys');
DeleteFile('\??\C:\WINDOWS\system32:lzx32.sys');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\PE386'); 
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet001\Services\PE386'); 
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\lzx32'); 
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet001\Services\zx32'); 
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\msguard'); 
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet001\Services\msguard'); 
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите то, что попадет в карантин.

[drongo]

Из мелочей :

Пофиксить :

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

ais.fhg.de - ? знакомо ?

C: ProgramFiles\WinPcap\rpcapd.exe - знакомо ?

[agl]

Спасибо за оперативную подсказку!

Скрипт выполнил, сообщений об ошибках не заметил (все проскочило быстро),
после перезагрузки внутри avz4 директории карантин не обнаружил;
log файлы тоже не создавались.
Просмотрел регистр, в нем вхождений lzx32, pe386, msguard не попадалось

ALCMTR.exe - кажется, это часть Realtek AC97 audio - такая железяка у меня стоит. Советуете убить?

rpcard.exe - поиск в google указывает на "remore packet capture daemon". Я такого вручную не устанавливал, но, может быть, это результат одного из регулярных обновлений Windows? Или какой-либо из антивирусов - я их за последние дни массу перепробовал, Ваш - ЛУЧШИЙ!

ais.fhg.de - это наша сеть, с этим все в порядке.

Большое спасибо!

[AndreyKa]

Сделайте новый лог из 10-го пункта Правил.

[agl]

> Сделайте новый лог из 10-го пункта Правил.

Готово, приложил

[drongo]

ALCMTR.exe- лучше убрать , программа судя по описаниям не опасна , но собирает информацию о пользователе и посылает разработчикам . Шпион однако
rpcard.exe -
точно не от виндовса и не от каких -либо антивирусов которые у вас стоят . Так что попытаться найти add/remove programes и удалить , если нет , можно грубо удалить следующим образом :
Пофиксить :

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

Прочитайте как фиксить у меня в подписи . Там особенно надо
затем перегрузиться и удалить всю папку WinPcap которая живёт в Program Files

[agl]

Большое спасибо всем за помощь!