Проблема со startdrv.exe

[Anton_adm]

Ошибка на стадии запуска скрипта в avz. При его выполнении в обычном режиме avz зависает через несколько секунд. При запуске в безопасном режиме сканирование файлов завершается, но после этого появляется синий экран смерти с сообщением об ошибке в fastfat.sys (Adress f772f640 base at f772f000, DateStamp 41107eb7). Technical information: STOP:0x0000008E ... дальше не записывал.
Файл startdrv.exe в папке c:\windows\temp воскрешается каждый раз, обнаруживается какая-то зараза в ip6fw.sys (c:\windows\system32), также какой-то процесс (FW????.exe, извините, не помню точно...) съедает около 95% процессорного времени.
ОС: XP Home.
Что с этим можно сделать, помогите, пожалуйста.

[Макcим]

Сделайте лог как написано здесь.

[RiC]

Что с этим можно сделать, помогите, пожалуйста.

"Пуск"=>"Выполнить"
Команду chkdsk c: /f
Перезагрузиться и дождаться окончания проверки при загрузке.

Попробывать ещё раз выполнить логи по правилам.

[Anton_adm]

При выполнении исследования системы (пункт 2) через несколько секунд работы вылетело то же сообщение про fastfat.sys, поэтому лог сделать не удалось.

[Muzzle]

давайте попробуем почти в слепую

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('Ip6Fw');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы)
и попробуйте сделать логи и в обычно,и в безопасном режиме(в каком получится)

[Anton_adm]

Доходит до пункта 1.2. Выдает:
Функция NTAlertResumeThread (0C) перехвачена (8062E4EC->852E4D78)6 перехватчик не определен.
>>> Функция восстановлена успешно!
>>> Код перехватчка нейтрализован.
Дальше то же про функции NtAllocateVirtualMemory (11) и NtConnectPort (1F) (только значения в скобках другие).
После этого avz зависает, другие приложения продолжают работать.
В данный момент в системе работает Norton Internet Security. Раньше был установлен AVG.

[PavelA]

попробуй выполнить скрипт Muzzle в безопасном режиме.
Перед этим в AVZ -- Файл -- Станд. скрипты -- п.6 -- Выполнить.

Диск на ошибки проверил?

Можно взять GetSystemInfo с сайта Касперского, сделать лог и прислать сюда.

[Anton_adm]

Проверку делал, ошибок не было. Выполнил скрипт п.6. Скачал занова avz. Создал файл startdrv.exe нулевого размера в том же месте, где его создавал вирус, с атрибутом "только для чтения". Выполнил скрипт проверки и сбора информации. На этот раз успешно. Высылаю лог. Хайджеком не успел, рабочий день уже кончился, начальника задерживаю

[PavelA]

Нужен просто доп. лог.
См. http://virusinfo.info/showthread.php?t=10387
Делается быстро и поможет разобраться.

Весь AVG надо деинсталлировать. Он может конфликтовать с Нортоном.

[Anton_adm]

AVG снес, также снес и Нортона, поставил Panda, которая нашла пару вирусов (кажется, не относящихся к данной проблеме). Также закачал обновления Windows (благо лицензионная) Нулевой Startdrv.exe, что создавал удалил, больше не появляется. Система, правда, грузится долго, но вроде бы пока вирус перестал беспокоить.
Вчера запаниковал: в Инет отправилось более 200 непрошенных Мбайт, подозрения вызвал процесс WebProxy.exe, в инете нашел, что эта штучка от Панды. Так ли это? А то встречались и мнения, что это троян, используемый для выхода в Инет через зараженный компьютер.
Сделал лог (в обычном режиме, не в безопасном), высылаю на всякий случай.

[Макcим]

Выполните скрипт в AVZ

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Documents and Settings\All Users.WINDOWS\Документы\Settings\arm32.dll','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\COMFiltr.sys','');
 DeleteFile('C:\Documents and Settings\All Users.WINDOWS\Документы\Settings\arm32.dll');  
 BC_ImportDeletedList;
 BC_ImportQuarantineList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

[Anton_adm]

На стадии поиска руткитов в окне лога пролетали сообщения, мол, ошибка доступа к файлу (или копирования файла), прочитать толком не успел, т.к. скрипт дошел до перезагрузки Win. Высылаю файл.

[Muzzle]

Уберите файл карантина из сообщения,его нужно залить по ссылке
http://virusinfo.info/upload_virus.php?tid=10921
читайте внимательно правила!

Добавлено через 1 час 31 минуту
Файлы arm32.dll и COMFiltr.sys в карантин не попали,первый явно зловред,второй должен быть легальнымно проверить не помешает,попробуйте поискать их с помощью AVZ--сервис --поиск файлов на диске ,если найдутся то поместите их в карантин и пришлите по правилам.
И сделайте логи (все три).

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 16
• В ходе лечения вредоносные программы в карантинах не обнаружены