"Если коротко - пропал рабочий стол."

**Sad** · 26.10.2008, 01:01

Абсолютно такая же проблема как и тут http://virusinfo.info/showthread.php?t=32714
4 дня назад обнаружил у сестры на компе. сегодня и у себя. у меня лаптоп потому хард привязать никуда не могу( есть какие нибудь варианты?

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Макcим** · 26.10.2008, 01:20

Как спасти винду я не знаю, но решение для спасение данных предложить могу, правда вряд ли оно Вам подойдет. Можно использоваться Live CD с линуксом и с его помощью перенести данные на флэшку или USB HDD. Если на HDD ноута есть свободное место в достаточном количестве можно его отрезать и использовать для спасения данных, опять таки под линуксом.

**Sad** · 26.10.2008, 01:29

буу, линуксом дела не имел..а что за зверь такой это что не дает даже в сэйфмоде загрузиться?

**pig** · 26.10.2008, 02:21

Таких зверей сейчас пруд пруди.

**Макcим** · 26.10.2008, 10:04

Сообщение от Sad

буу, линуксом дела не имел..

Да ничего сложного там нет. Некоторым при одном слове "линукс" плохо становится. Просто нужно потратить некоторое время на изучение основ, конечно грех заниматься этим на зажаренной машине рискуя добить данные.

**Sad** · 26.10.2008, 10:48

проблема осложняется тем, что комп не бутится с сидюка с винхп даже. то есть установка винды автоматом не включается, кидает в мсдос, откуда сетап ехе запустить нельзя. неужели нет никаких вариантов кроме формат ц? и даже если я его таки сделаю, как потом винду ставить из мсдоса?

лайв сиди пока не достал,но не будет ли там такой же проблемы?

**Sad** · 26.10.2008, 13:45

благодаря пользователю fear321 с идентичной проблемой смог запустить тотал коммандер, а оттуда авз. прикрепляю логи

**Макcим** · 26.10.2008, 14:16

Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 ExecuteRepair(9);
 RebootWindows(true);
end.

"Пофиксите" в HijackThis

Код:

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

Загрузите карантин согласно приложению №3 правил.

Пуск - Выполнить:
Введите комадну: sfc /scannow
Windows будет проверять целостность защищённых файлов на вашем компе. Для восстановления может потребоваться установочный диск ОС.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.

**Sad** · 26.10.2008, 15:15

все сделал кроме Введите комадну: sfc /scannow, нету диска хпшного установочного идентичного..
прикрепляю логи

**Sad** · 27.10.2008, 01:27

up

**Макcим** · 27.10.2008, 12:25

Выполните скрипт в AVZ

Код:

begin
 ClearQuarantine;
 QuarantineFile('G:\system.exe','');
 QuarantineFile('G:\autorun.inf','');
end.

Загрузите карантин согласно приложению №3 правил.

Жалобы есть?

**Sad** · 28.10.2008, 01:31

скрипт выполнил, но в папку карантина ничего не добавляется, она пустая.
жалоба одна: авторан из папки флэшки зараженный я удалил и теперь не могу ее открыть, при попытке нажатия выскакивает окно какой программой открывать..как с этим бороться?

**PavelA** · 28.10.2008, 11:50

Что было в этом autorun, какую программу он вызывал?

**Sad** · 28.10.2008, 14:51

я смог восстановить авторан, вот его контент:
[autorun]
;q
open=system.exe
;q
shellexecute=system.exe
;q
shell\Explore\command=system.exe
;q
shell\Open\command=system.exe
;q
shell=Explore

флэшка теперь открывается, но кроме авторана ничего на ней не видно, хотя занято почти 300 метров. там важные доки, есть какая нибудь возможность увидеть ее контент полный снова?

заранее благодарен

**PavelA** · 28.10.2008, 16:32

Чем открываете - проводником?
Попробуйте открыть Farом.
Можно на нее еще проверку диска напустить без автомат. лечения. На ней правая клавиша - Свойства - сервис - Проверка диска.

Такое может происходить из-за некорректного отключения флешки от компьютера.

**Sad** · 28.10.2008, 17:33

вытащил флэшку и вставил снова - опять не открвается, опять спрашиваем с помощью чего открывать.
скачал фар - открыл им, видит папку found.000 и в ней куча файлов вида file000n.chk, где n - цифры от 0 до 303.

существуют ли проги чтобы как то реорганизовать флешку или что то в этом роде?

проверка диска ничего не дала..

**PavelA** · 28.10.2008, 17:47

Это надо, чтобы использовать что-нибудь типа R-Studio или Easy Recovery Pro.
У меня уже встречались такие флешки. R-Studio справлялся с ними.

**Sad** · 28.10.2008, 18:10

перепробовал уже следущие программы:
Portable Data Doctor Recovery PRO -14 in 1 FIXED
Recuva 1.18.344
Recover My Files v3.9.8.6043
JetFlash Recovery Tool v.1.0.19
Ontrack EasyRecovery Professional v6.12 Retail
Portable Ontrack EasyRecovery Professional v6.12
GetDataBack 3.50 for FAT & NTFS
Easy NTFS Data Recovery
EasyRecovery PRO (200

они находят нужный документ но там ворд док 9ти страничный, а весит он почему-то 26кб. Соответственно после рекаверинга не работает( может нужно отформатить флэшку а потом снова попробовать?

**PavelA** · 28.10.2008, 18:26

На флешку только ничего не пытайся восстанавливать. Я уже забыл до или после форматирования у меня получилось восстановить. Причем правильно не с первого раза. У меня документ Ворда получался как zip-архив.