Ошибка "Error while unpacking program, code LP5" в вебмани

[beebonia]

Доброго времени суток!
Возникла проблема с запуском вебмани, и сразу же подозрения пали на вирусы т.к. все сайты антивирусов не открывает.

Делал полную проверку Dr.Web CureIt! - нашло тучу заразы в файлах типа .exe.
Комбо фиксом прогонял (прикрепил отчет)!
Ах да, и на каждом из дисков есть фалы exe которые удаляешь, но после перезагрузки они опять появляются.
(d:\ityfg.exe e:\osfon.exe c:\fjts.exe f:\lgwyqb.exe)

Как бороться с данной заразой?

[SolarSpark]

Знакомьтесь, Салити
Как лечить систему от файлового вируса? (http://safezone.cc/forum/showthread.php?t=54)

Скачивать и записывать на диск утилиты нужно только на чистом компьютере !!!
Использовать LiveCD/Dr.Web® LiveUSB до тех пор пока не перестанут находиться зараженные файлы.

Затем к нам со стандартным набором логов AVZ+RSIT
добьем заразу

[beebonia]

Все сделал, вот отчетик который попросили!!!
Очень жду помощи.

[alex_sev]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/forum/showthread.php?t=18577).

Выполните скрипт в АВЗ (http://safezone.cc/forum/showthread.php?t=10) (Файл - Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('E:\WINDOWS\system32\drivers\gtpln.sys');
DelBHO('{D5FEC983-01DB-414a-9456-AF95AC9ED7B5}');
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
if MessageDLG('Заражение Вашего компьютера произошло через автоматический запуск программ на съемных накопителях. Отключить автозапуск?', mtConfirmation, mbYes+mbNo, 0) = 6 then
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer', 'NoDriveTypeAutoRun', '221');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
DeleteService('amsint32');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('amsint32');
BC_Activate;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новый комплект логов AVZ и RSIT и прикрепите к следующему сообщению новые логи virusinfo_syscure.zip, virusinfo_syscheck.zip, log.txt, info.txt


Скачайте Malwarebytes' Anti-Malware (http://malwarebytes.org/mbam-download-exe-random.php) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите (во время установки откажитесь от использования Пробной версии), обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2012-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. (http://data.mbamupdates.com/tools/mbam-rules.exe)
Подробнее читайте в руководстве (http://safezone.cc/forum/showthread.php?t=16050)

[beebonia]

alex_sev,
Все сделал как вы сказали.

[alex_sev]

Повторите сканирование в MBAM и удалите только следующее:

HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_AMSINT32 (Virus.Sality) -> Действие не было предпринято.
C:\ih8sn0w\sn0wbreeze-2.2.1.exe (Trojan.MSIL) -> Действие не было предпринято.

Создайте новую точку восстановления и удалите все старые.

Подготовьте диск с дистрибутивом Вашей Windows (такого же языка и SP), запустите командную строку и введите:

sfc /scannow

подробнее тут: http://forum.oszone.net/thread-40792.html

Смените все важные пароли!!!

Сбросьте настройки брандмауэра Windows, для этого введите в командной строке:

netsh firewall reset

Переустановите программы которые в результате лечения оказались неработоспособны из заново скачанных дистрибутивов.

Проверимся на уязвимости:

Загрузите SecurityCheck by glax24 отсюда (http://safezone.cc/forum/krfilesmanager.php?do=file&dlfileid=36) и сохраните утилиту на Рабочем столе Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7) Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу. Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt; Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt Скопируйте содержимое файла в свое следующее сообщение.Подробнее читайте в этом руководстве (http://safezone.cc/forum/showthread.php?t=19945).

[beebonia]

alex_sev,
В сидироме тот диск, с которого ставилась винда.
Вот такое вот происходит на стадии "Подготовьте диск с дистрибутивом Вашей Windows (такого же языка и SP), запустите командную строку и введите:"
http://f2.s.qip.ru/V4IuU8Yz.png

[alex_sev]

Эту ветку экспортируйте и выложите:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup

+

какую букву имеет привод?

[beebonia]

Эту ветку экспортируйте и выложите:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup
+
какую букву имеет привод? »
Вместо zip поставите .reg потому что на сервер файл реестра не льется.

Привод буквой F обозначен.

[alex_sev]

Пропустите тогда этот шаг и начинайте отсюда:

Смените все важные пароли!!! »

[beebonia]

Пропустите тогда этот шаг и начинайте отсюда:
Цитата alex_sev:
Смените все важные пароли!!! » »
Сделано!

[alex_sev]

После переустановки WebMoney работает?

[beebonia]

После переустановки WebMoney работает? »
Пока да.Посмотрим как дальше поведет себя

[alex_sev]

Остального так и не вижу:
Сбросьте настройки брандмауэра Windows, для этого введите в командной строке: »

Проверимся на уязвимости: »

+

для решения проблем с sfc обратитесь в эту тему: http://forum.oszone.net/thread-40792.html