Email-Worm.Win32.Rays и возможно другие вирусы

[Florans]

Здравствуйте.
8 марта, установленный на моём ноутбуке Ad-Watch SE Professional обнаружил множество записей изменения реестра. В процессе перезагрузке вылезло почти пустое окно с иероглифами в заголовке и тремя чертами и курсором в теле, но ничего написать не позволяющим. Выйти можно было только нажав ОК, после чего продолжился процесс загрузки.
Обнаружилось, что приложения - exe.файлы двойным кликом мыши перестали запускаться, только с помощью Назначенных заданий и то не все. А при двойном клике вылезло окно с надписью: "Приложение, выполняющее эту операцию, указанному файлу не сопоставлено. Произведите сопоставление с помощью панели управления "Свойства папки". Также оказалось переименованным полное имя компьютера. Потом стали недоступными многие опции - свойства моего компьютера, учетные записи пользователей и др.
Многие программы из группы автозапуска оказались заблокированными.
Установила Касперского - обнаружил вирус Email-Worm.Win32.Rays и вроде бы удалил зараженные файлы.
Но симптомы не исчезли.
Буду благодарна за помощь в лечении моего ноутбука.

[drongo]

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
 QuarantineFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll','');
 QuarantineFile('D:\PROGRA~1\-A7F1~1\A547~1\SKYBUB~1.EXE','');
 QuarantineFile('appmgmts.dll','');
 QuarantineFile('C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe','');
 QuarantineFile('C:\PROGRA~1\LMBOMBER\LMBOMBER.EXE','');
 QuarantineFile('C:\PROGRA~1\MYWEBS~1\bar\1.bin\MWSBAR.DLL','');
end.

Прислать карантин согласно приложения 3 правил .

Просветите нас что с нортоном антивирусом ? он жив или мёртв ? Хвосты от него видны в системе.

[Florans]

Norton Internet Security стоял уже просроченный и был удалён Касперским при установке.
Скрипт выполнился успешно, но в конце вывелась куча каких-то ошибок...
Симптомы не изменились.

[AndreyKa]

C:\WINDOWS\Downloaded Program Files\popcaploader.dll - Program.PopcapLoader
Но он к проблеме отношения не имеет.

Пофиксте в HijackThis следующие строки:

O4 - HKLM\..\Run: [My Web Search Bar] rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\MWSBAR.DLL,S
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.exe.imgfarm.com/images/noc...up1.0.0.15.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab

В AVZ меню Файл Восстановление системы - в строчке
1. Восстановление параметров запуска .exe, ...
поставьте галочку. Нажмите кнопку Выполнить ...
Перезагрузите компьютер.
Сделайте новый лог HijackThis и приложите его к своей теме.

[Florans]

Спасибо. Приложения стали открываться и я смогла вернуть первоначальное имя своему ноутбуку.
Надеюсь, последний лог подтвердит, что всё в порядке.

[AndreyKa]

Странно, первые 3 строчки для фикса остались на месте.
Попробуйте в AVZ через меню Сервис - Менеджер автозапуска, отключить строки, начинающиеся с:
rundll32 C:\PROGRA~1\MYWEBS~1\bar\1.bin\MWSBAR.DLL,S
C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe

[Florans]

Выполнила. Проверьте, пожалуйста.

[AndreyKa]

Все осталось как было, но это не страшно. Это просто мусор.
Как вообще, проблем больше нет?

[Florans]

Проблемы закончились. Правда иногда долго грузится...
А за этим мусором не скрывается вирус?

[Florans]

Есть некоторые неприятные окна, вылезающие при загрузке.
Сделала принтскрин, но к сожалению, не смогла вложить. Постоянно вылезает сообщение, что архив превышает допустимый размер.
Какого размера архив я могу прислать, не подскажете?

[PavelA]

В планировщике заданий болтается куча непонятных. Они все Вам нужны?
Если нет, то можно некоторые можно поудалять.

[AndreyKa]

Есть некоторые неприятные окна, вылезающие при загрузке.
Сделала принтскрин, но к сожалению, не смогла вложить. Постоянно вылезает сообщение, что архив превышает допустимый размер.
Какого размера архив я могу прислать, не подскажете?

Картинки надо сохранять как JPEG или GIF.
Если не получается, закачайте на http://rapidshare.ru/
и выложите тут ссылку.

[Florans]

В планировщике много заданий потому, что только так я могла открывать приложения - exe.-файлы. Сейчас задания я уже удалила.
Принтскрин можно посмотреть по ссылке http://www.rapidshare.ru/218326

[Florans]

Удалось ли посмотреть и что можете сказать?

[Макcим]

Повторите пожалуйста все три лога.

[AndreyKa]

Удалось ли посмотреть и что можете сказать?

Посмотрел, ничего страшного нет.
Это из-за мусора в реестре, который почему-то не получилось удалить.
Можно просто не обращять на это внимание.

[Florans]

Заметила, что аська тоже стала глючить. Выдаёт ошибки. Переустановила - история та же.
Принтскрины выложила сюда:
http://www.rapidshare.ru/222772
http://www.rapidshare.ru/222773
http://www.rapidshare.ru/222775
Хочется избавиться ото всего.

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('c:\sysprep\patch\sysprep.cmd','');
 QuarantineFile('C:\WINDOWS\system32\ClientCpl.cpl','');
 QuarantineFile('C:\Program Files\Wireless Console 2\wcourier.exe','');
 QuarantineFile('C:\WINDOWS\FXCLUB.SCR','');
 ExecuteRepair(12);
RebootWindows(true);
end.

После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".
Кстати хочу поинтересоваться зачем Вам нужна утилита sysprep при каждом запуске Windows?

[Florans]

Не знаю, что это за утилита, поэтому не могу сказать - нужна или нет.
Кстати, ноутбук после выполнения скрипта как-то странно себя повёл - с экрана пропали все иконки и панели. Пришлось принудительно выключать. А загружается он последнее время только со второго раза...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены