msnmsngar.exe и зависание нижней панельки

[Руф]

Вобщем Аваст находит msnmsngar.exe в папке C:\WINDOWS\system32 . Называет его как Win32:Rbot-DIT [Trj] Помимо этого часто виснит нижняя панелька и некоторые проги. Скачал Cure it он нашёл множество всякой нечисти все были Win32.HLLW.MyBot их удалил. Логи прилагаются. Нужна помощь. Заранее спасибо ))

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Titan Poker\casino.exe','');
 QuarantineFile('oazqjijze.exe','');
 QuarantineFile('C:\WINDOWS\System32\vmmon32.exe','');
 QuarantineFile('C:\WINDOWS\runservice.exe','');
 QuarantineFile('c:\windows\system32\uaservice7.exe','');
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите содержимое карантина согласно приложению 3 правил.

[Bratez]

Важный момент:

Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

XP без сервис-паков это просто безобразие
Необходимо поставить SP2 и последующие обновления!

[Rene-gad]

XP без сервис-паков это просто безобразие

Скажу более: этим Вы подвергаете опасности не только себя, но и других, т.к. Ваш ПК может быть превращён в рассадник заразы и так, что Вы об зтом узнаете в последнюю очередь.

Необходимо поставить SP2 и последующие обновления!

... иначе хелперы не будут успевать проверять логи в коротких перерывах между заражениями ПК

[Руф]

Так файлы вроде послал. Сервмс паки обязательно поставлю в течении пары дней. Спасиб

[Bratez]

Присланные файлы как ни странно, никем не детектятся, хотя runservice.exe и uaservice7.exe ну очень подозрительные.
Попробуйте найти вручную не попавшие в карантин:
oazqjijze.exe
C:\WINDOWS\System32\vmmon32.exe
Если найдутся, пришлите по правилам.

[Руф]

Ни того ни другого через search не нашёл. Но нашёл что то неясное с названием OAZQJIJZE.EXE-0A405A26.pf в фолдере C:\WINDOWS\prefetch на всякий случай выслал.

[Bratez]

Выполните такой скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\vmmon32.exe');
 DeleteFile('oazqjijze.exe');
 BC_DeleteFile('C:\WINDOWS\System32\vmmon32.exe');
 BC_DeleteFile('oazqjijze.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(True);
end.

После перезагрузки повторите логи п.10 и 12 правил.
А по поводу тех подозрительных "сервисов" подождем вердикта ЛК.

[Руф]

Сделал. Прикладываю логи.

[Bratez]

... иначе хелперы не будут успевать проверять логи в коротких перерывах между заражениями ПК

Как в воду глядел! Еще с теми не разобрались, а вы уже новенького подхватили!
Выполните скрипт:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\dhevhf.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам. И срочно ставьте обновления!

[Bratez]

Это 100% зловред, кучу портов открыл, еще нагонит вам трафика.
Так что если закарантинится успешно - вот сразу скрипт для удаления:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\windows\system32\dhevhf.exe');
 BC_DeleteFile('c:\windows\system32\dhevhf.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[Руф]

Посмотрите пожалуйста новые логи так как я проапгрейдил систему.

[5ergi0]

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('\SystemRoot\System32\Drivers\aymxtomh.SYS','');
 QuarantineFile('C:\WINDOWS\system32\kxmixer.exe','');
 QuarantineFile('C:\WINDOWS\system32\sndcfg16.exe','');
RebootWindows(true);
end.

Прислать карантин + hijackthis.log еще раз, какой-то он порезанный получился.

[Руф]

kxmixer Это мой драйвер для звука. Карантинить?

[Bratez]

Logfile of HijackThis v1.97.7

Версия устаревшая, скачайте 1.99.1.
Можно сразу пофиксить:

O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

Ждем карантин и свежий лог HijackThis.

[Руф]

Файлы отослал вот лог новый.

[5ergi0]

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\windows\system32\sndcfg16.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

aymxtomh.SYS в карантин не попал, придется искать по правилам...

[Руф]

При запуске скрипта пишет: Ошибка: Too many actual parameters в позиции 4:13

[5ergi0]

Исправил, теперь заработает

[Руф]

Этот файл что вы просили я не нашёл. Наверное нужно прислать новые логи?