[решено] Появился лишний диск и проблемы в трее

[majoras]

В "Мой компьютер" неправильно отображаются диски
http://i071.radikal.ru/1001/58/b9db266345f0.jpg (http://www.radikal.ru)
Левый - вообще ничего не видит(Именно он всё должен видеть
Правый - видит, несмотря на то, что отображается как Внешний HDD
Вот скрин "Управление дисками"
http://s43.radikal.ru/i102/1001/41/7ba95b05d1a8t.jpg (http://radikal.ru/F/s43.radikal.ru/i102/1001/41/7ba95b05d1a8.jpg.html)
Помогите разобраться, пожалуйста! :clapping:
В безопасном режиме диски отображаются правильно
http://s006.radikal.ru/i215/1002/53/8fcc31bbdd47t.jpg (http://radikal.ru/F/s006.radikal.ru/i215/1002/53/8fcc31bbdd47.jpg.html)

В добавок к этому, в трее не отображаются: Foobar, PerfectDisk и значок безопасного удаления устройств
Логи прилагаю. CureIt при сканировании ничего не нашёл
Помогите, пожалуйста! :clapping:

[sanek_freeman]

majoras, здравствуйте.

Отключите интернет и локальную сеть если таковая имеется.
Очистите временные файлы.
Очистите временные файлы через Пуск - Программы - Стандартные - Служебные - Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1).
• Скачайте ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1), запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
• Если вы используете Firefox, нажмите Firefox - Select All - Empty Selected.
• Нажмите No, если вы хотите оставить ваши сохраненные пароли.
• Если вы используете Opera, нажмите Opera - Select All - Empty Selected.
• Нажмите No, если вы хотите оставить ваши сохраненные пароли.
Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.
• Создание новой точки восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
• Очистка всех предыдущих точек восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Очистка диска, выберите системный диск, на вкладке Дополнительно > Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.

* Подробнее можно прочитать в этой (http://virusnet.info/forum/showthread.php?t=2065) теме.

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Program Files\Ask.com\GenericAskToolbar.dll','');
DeleteFile('C:\Program Files\Ask.com\GenericAskToolbar.dll');
DelBHO('{D4027C7F-154A-4066-A1AD-4243D8127440}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip Вышлите полученный файл quarantine.zip на newvirus@kaspersky.com (mailto:newvirus@kaspersky.com). Результаты ответа, сообщите здесь, в теме.

• HiJackThis. Нужно пофиксить эти строки в HiJackThis. Выставив галочки напротив этих пунктов и нажмите кнопку Fix Checked. Как пофиксить в HijackThis (http://virusnet.info/forum/showthread.php?t=9)

O2 - BHO: Ask.com Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll
O3 - Toolbar: Ask.com Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll


• Скачайте Malwarebytes Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - нажмите Remove Selected (удалить выделенные).Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM (http://malwarebytes.gt500.org/mbam-rules.exe).

Затем повторите логи AVZ и HijackThis. Проблемы после всего этого еще наблюдаются?

[majoras]

sanek_freeman,
Всё выполнил. quarantine.zip отправил
После выполнения первого скрипта комп перезагрузил и все иконки в трее были на своих местах. Но, только после этой перезагрузки. После следующих - опять всё по-старому: в трее нет тех же самых иконок
Проблема с дисками также остаётся

HiJackThis. Нужно пофиксить эти строки в HiJackThis
Вот это неудалось, так как указанных строк небыло

[sanek_freeman]

majoras,
• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('ghnprr.sys','');
DeleteFile('ghnprr.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('ghnprr');
BC_Activate;
RebootWindows(true);
end.
После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip Вышлите полученный файл quarantine.zip на newvirus@kaspersky.com (mailto:newvirus@kaspersky.com). Результаты ответа, сообщите здесь, в теме.

Повторные логи AVZ и HijackThis можете не делать. Сделайте лог ComboFix:
•Скачайте ComboFix (http://subs.geekstogo.com/ComboFix.exe) или здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Как использовать ComboFix (http://virusnet.info/forum/showthread.php?t=2773)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe.

Как обстоят дела с проблемой после этого?

[majoras]

sanek_freeman,
Выполнил
Трей после скрипта восстановился, но, после выполнения запуска combofix.exe - опять проблемный! Нет тех же самых иконок
Проблема дисков по-прежнему остаётся
combofix.exe успешно удалил

[sanek_freeman]

majoras,
• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.


Если после этого скрипта проблемы не исчезнут, то сделайте лог SDFix (в противном случае не надо):

• Скачайте SDFix (http://downloads.andymanchesta.com/RemovalTools/SDFix.exe), загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из C:\Report.txt и вставьте в следующее сообщение или запакуйте файл C:\Report.txt и прикрепите к сообщению.
Описание SDFix есть здесь (http://www.saule-spb.ru/library/sdfix.html).

[majoras]

sanek_freeman,
Скрипт не помог
Скачал SDFix, но, при его открытии он у меня просится не на диск С:\, а на диск J:\, который сейчас не подключен. Это адрес мультизагрузочной флешки, когда её подключаю
Незнаю как быть дальше
http://i073.radikal.ru/1002/ed/62ea81899e22t.jpg (http://radikal.ru/F/i073.radikal.ru/1002/ed/62ea81899e22.jpg.html)

[Drongo]

majoras, Тогда так, правой кнопкой по файлу SDFix - извлечь в SDFix, у вас появится папка SDFix. Перезагрузитесь, зайдите в Безопасный режим и запустите файл RunThis.bat из папки SDFix.

[majoras]

Drongo, sanek_freeman,
Выполнил
Все иконки в трее восстановились. Дай бог - на долго :yahoo: Большое Вам спасибо! :Beer:
С дисками ничего не изменилось. Может проблема отображения дисков и не связана с вирусами
Если у Вас есть мысли или какие нибудь рекомендации(Например, к кому обратиться) на сей счёт - обязательно поделитесь. Буду крайне благодарен
Отчёт прилагаю->

[Drongo]

Если у Вас есть мысли или какие нибудь рекомендации(Например, к кому обратиться) на сей счёт - обязательно поделитесь »
Рекомендации будут. Выполните их внимательно. Проверьте эти два файла на следующих онлайн-сервисах.
C:\WINDOWS\system32\wodfamop.dll
C:\WINDOWS\system32\yh1ylde.dll

1. http://www.virustotal.com/ru/
2. http://www.virscan.org/
3. http://virusscan.jotti.org/ru

Сслыки результатов проверок опубликуйте здесь. Если окажется что файлы вредные, выполните скрипт представленный ниже. В противном случае, если файлы чистые, выполнять его не нужно.

Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Выделите и скопируйте текст ниже (Ctrl+C) Компьютер перезагрузится.

:Processes
explorer.exe

:Services

:Files
C:\WINDOWS\system32\wodfamop.dll
C:\WINDOWS\system32\yh1ylde.dll
C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp

:Reg

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.
Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

[majoras]

Drongo,
Нигде не могу скачать OTMoveIt3. Открывается ошибочная страница

А этих двух товарищей(wodfamop.dll, yh1ylde.dll) не удалось найти ни визуально, ни используя поисковик Windows, как по указанному адресу, так и на компе в целом

[Drongo]

majoras, Извините, ссылка была старая и я в своё время не обновил её. Вот рабочая - OTM by OldTimer (http://virusnet.info/forum/downloads.php?do=file&id=21)

А этих двух товарищей(wodfamop.dll, yh1ylde.dll) не удалось найти ни визуально »Понятно, они имеют атрибут скрытый. Возможно стоит включить отображение скрытых файлов.

[majoras]

Drongo,
Выполнил
C:\WINDOWS\system32\yh1ylde.dll
http://www.virustotal.com/ru/analisis/4cdf1297ecc6d02b81bdd0551e4770cee618643e441b4064c2ba51198c54e31a-1265290085
http://www.virscan.org/report/cf51c9f84855cc0dde8b86f3d1b89ded.html
http://virusscan.jotti.org/ru/scanresult/bd052036a0d6070be14d6ecc69857215ccd5499c

C:\WINDOWS\system32\wodfamop.dll
http://www.virustotal.com/ru/analisis/01575e8e4a27e24e60d6d885ea21b9fa311c8053b42ec68cf2789de9f7cc80fd-1259523481
http://www.virscan.org/report/38100256faaac0e5ab991d931e6dc254.html
http://virusscan.jotti.org/ru/scanresult/07200a376a633f5f5084183f241c7f633c2063e7/7b11547d9ce131829ee1e79962a6e046bfd81d60

Результат скрипта
All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== SERVICES/DRIVERS ==========
========== FILES ==========
DllUnregisterServer procedure not found in C:\WINDOWS\system32\wodfamop.dll
C:\WINDOWS\system32\wodfamop.dll moved successfully.
LoadLibrary failed for C:\WINDOWS\system32\yh1ylde.dll
C:\WINDOWS\system32\yh1ylde.dll moved successfully.
C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp moved successfully.
========== REGISTRY ==========
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: majoras
->Temp folder emptied: 1297116 bytes
->Temporary Internet Files folder emptied: 7190033 bytes
->FireFox cache emptied: 89978872 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: Администратор
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2133863 bytes
%systemroot%\System32 .tmp files removed: 5709 bytes
Windows Temp folder emptied: 505 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 19357678 bytes

Total Files Cleaned = 115,00 mb


OTM by OldTimer - Version 3.1.4.0 log created on 02042010_160138

Files moved on Reboot...

Registry entries deleted on Reboot...

[Drongo]

majoras, Файлы чистые. Деинсталируйте утилиты SDFix и OTM by OldTimer. Скачайте эту утилиту OTCleanIt (http://www.virusnet.info/forum/downloads.php?do=file&id=19) и нажмите кнопку Clean Up

С дисками ничего не изменилось. Может проблема отображения дисков и не связана с вирусами »Правой кнопкой мыши по Мой компьютер - Управление - Службы - найти в списке службу Определение оборудования оболочки - посмотрите в каком состоянии находится служба, должа быть Авто - Работает. Двойным щелчком по ней, нажать кнопку Стоп - потом Пуск - ок. Скорее всего что не поможет, но попробуем.

[majoras]

Drongo,
Выполнил
К сожалению - не помогло
После работы с OTM by OldTimer появилась маленькая проблема
При перезагрузке, после окна приветствия вылетает табличка(Белый фон) с надписю приблизительно такого содержания
CNT Authority\System
Дальнейшая загрузка - только после нажатия на кнопку
Как бы устранить эту преграду?

Добавлено!
У меня как-то по неосторожности был установлен Acronis 12 True Image. Я потом его снёс, поиском (вводил в поиск слово Acronis) нашёл ещё несколько файлов или паппок. Их также удалил. Сейчас как бы следов нет
Может в этом направлении стоит подумать

[Drongo]

majoras, К сожалению, без понятия что это. Давайте вы повторите логи HiJackThis и AVZ, посмотрим туда.

Так, стоп, а зачем вы выполнили скрипт? Я же написал что если по результата онлайн проверки файлы окажутся чистыми - скрипт не выполнять. :(
Если окажется что файлы вредные, выполните скрипт представленный ниже. В противном случае, если файлы чистые, выполнять его не нужно. »

Посмотрите на диске D: нет ли такой папки D:\_OTM

[majoras]

Посмотрите на диске D: нет ли такой папки D:\_OTM »
Посмотрел. Нет такой

Так, стоп, а зачем вы выполнили скрипт? »
От усердия, чисто механически. Когда спохватился, процесс уже было не остановить

логи HiJackThis и AVZ »
Сегодня уже обстоятельства не позволят. Завтра(постараюсь пораньше) результат выставлю в этом же посту

Добавлено
После работы с OTM by OldTimer появилась маленькая проблема
При перезагрузке, после окна приветствия вылетает табличка(Белый фон) с надписю приблизительно такого содержания
CNT Authority\System »
Вчера я здесь допустил неточность
Табличка появляется перед окном приветствия

Выполнил

[Drongo]

Табличка появляется перед окном приветствия »Теперь другое дело. :) Я так понимаю это сообщение выводимое в ходе WinLogon. Убирается просто.

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
ExecuteRepair(7);
RebootWindows(true);
end.

[majoras]

Убирается просто. »
Сработал скрипт! Спасибо!
Теперь остается проблема c дисками только
http://s005.radikal.ru/i211/1002/22/6db50efba705.jpg (http://www.radikal.ru)
И ещё обратите внимание, пожалуйста, на появившийся у меня WebFolders. Я намеренно его не содавал. Появился он как то в процессе лечения. Я незнаю, нужен ли он? Если его присутствие в "Мой компьютер" считается нормальным, то,пусть остаётся. А может, он ненужен? Тогда, давайте уберём его. Расчитываю на Вашу осведомлённость в этом вопросе

[thyrex]

Выполните скрипт в AVZ
begin
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteRepair(19);
RebootWindows(true);
end. Компьютер перезагрузится.

Web-папки должны исчезнуть. А с дисками что-нибудь изменилось?