пункт №8

[Santei]

пункт №8 не выполняется до конца, вылазит синий экран и комп. перезагружается, этого файла нет virusinfo_syscure.zip.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\qmap32.dll');
 DeleteFile('C:\WINDOWS\SVCHOST.EXE');
 DeleteFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится. Пофиксите в HijackThis:

O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://arcade.icq.com/carlo/zuma/popcaploader_v5.cab

После этого попробуйте сделать все 3 лога.

[PavelA]

>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных

Интересная строчка из лога. Надо будет у Олега Зайцева спросить.

[Santei]

Может я делаю чего-то не правильно, я скопировал ваш скрипт и вставил в AVZ "выполнить скрипт" он мне следующее выдал: Too many actual parameters в позиции 4:12.

[Bratez]

Скрипт исправил, извиняюсь.
Учитывая сообщение от PavelA, программу AVZ перед выполнением скрипта надо бы записать заново.

[Santei]

Всё сделал как вы сказали но AVZ по прежнему на п.№8 перезагружает комп. И ещё вопросик что значит пофиксить в HijackThis?

[PavelA]

В HijackThis сделать Scan. Отметить нужные строки. Внизу нажать кнопку - Fix Checked.

[Макcим]

Скачайте заново AVZ. Обновите базы. Попробуйте получить ещё раз все необходимые логи. Перед выполнением п.№8 сделайте так:
1. AVZPM - установить драйвер расширенного монитора.
2. Перезагрузитесь.
3. Выполните п.№8.
4. AVZPM - удалить драйвер расширенного монитора. Драйвер будет удален после ещё одной перезагрузки.

[Santei]

Ну вроде все 3 лога сделал.
Если кто знает, что это за гадость и как от неё избавиться объясните пожалуйста! И посоветуйте нормальный бесплатный антивирус. СПАСИБО!

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\HP\Digital Imaging\bin\hpqwrg.exe','');
 QuarantineFile('C:\WINDOWS\SVCHOST.EXE','');
 QuarantineFile('C:\WINDOWS\system32\eDStoolbar.dll','');
 QuarantineFile('C:\WINDOWS\system32\ImageItEncrypt.exe','');
RebootWindows(true);
end.

После перезагрузки пришлите файлы карантина по правилам раздела "Помогите".

"пофиксите" в HijackThis

O23 - Service: Programm manager  (XPManager) - Unknown owner - C:\WINDOWS\SVCHOST.EXE

[Bratez]

И посоветуйте нормальный бесплатный антивирус. СПАСИБО!

Если английский язык вас не озадачивает, рекомендую это:
http://www.activevirusshield.com
(тот же KAV, только урезанный, но все же достаточно эффективный; к сожалению, только english).

[Bratez]

1. В карантине файлов многовато, выберите только те, что указаны в скрипте MaXim, и вот этот:
C:\Acer\Empowering Technology\WMIAcerCheck.exe

2. Похоже, Вы забыли отключить Восстановление системы? Сделайте это немедленно и до конца лечения не включайте!

[Макcим]

И посоветуйте нормальный бесплатный антивирус.

Таких не бывает Бесплатные конечно есть, но вот только опасных зловредов они начинают детектить позже всех. Не скупитесь и купите Kaspersky Internet Security 6.0. Стоит всего 2000 рублей, но так зато сервис и поддержка на высшем уровне. Обновления ни запаздывают. Круглосуточный саппорт в Вашем распоряжении

[Santei]

Восстановление системы я отключил (свойстква системы => восстановление системы =>
отключить восстановление системы на всех дасках).
Скрипт от MaXim выполнить ре удалось, комп. виснет картинка рабочего стола и всё, висит пару минут и снова синий экран, ну и естественно парезагрузка. Пробовал включить AVZPM, всё тоже самое.

[Bratez]

Попробуйте выполнить скрипт в безопасном режиме.

[Santei]

В безопасном режиме при начале работы скрипта комп. сразу перезагрузился и в нормальный режим выкинул.

[Bratez]

Поищите вручную файл C:\WINDOWS\SVCHOST.EXE
Если найдется, заархивируйте в зип с паролем virus и пришлите по правилам.

[Santei]

Кстати имя этого файл Avast тоже иногда определяет как зараженный.
Нашел 2 файла

svhost из C:\WINDOWS\system32
SVCHOST.EXE-2F7BD2AF.pf из C:\WINDOWS\Prefetch

[Bratez]

svhost из C:\WINDOWS\system32
SVCHOST.EXE-2F7BD2AF.pf из C:\WINDOWS\Prefetch

А в C:\WINDOWS его стало быть нету?

Мой KIS сказал:

удалено: вирус Email-Worm.Win32.Rays.b Файл: D:\Downloads\Архивы\пароль virus\svchost.exe

Вот как оказывается... Но в папке system32 должен жить легитимный svchost.exe. Надо подумать.
В префетче файл чистый...

[Bratez]

В безопасном режиме при начале работы скрипта комп. сразу перезагрузился и в нормальный режим выкинул.

IMHO, скрипт выполнился, т.к. в нём предусмотрена перезагрузка.
Посмотрите в карантине остальные файлы, упомянутые в скрипте MaXim, и C:\Acer\Empowering Technology\WMIAcerCheck.exe.
Только надо их не прикреплять в тему а отправлять через форму по ссылке "Прислать запрошенные файлы" вверху страницы.