Ошибка при запуске EXE-файлов + ntos.exe

[surok]

При запуске приложений выскакивает ошибка: "Ошибка приложения. Инструкция по адресу ... обратилась к памяти по адресу ... Память не может быть "read"".
При этом:
1. если приложения прописать в автозагрузке (HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Run), то они нормально запустятся;
2. в безопасном режиме также всё запускается нормально.

И ещё один момент - был у меня ntos.exe по адресу c:\windows\system32. Удалось его удалить. Но даже после этого попытка удалить из реестра его автозагрузку заканчивается восстановлением первоначальной записи. Я читал, что эта зараза контролирует изменение реестра. Но файла ведь уже нет! И после перезагрузки программе загружаться неоткуда.

PS В правилах в 9-м пункте сказано, что надо перезагрузить компьютер, после чего антивирусы и фаерволы продолжат нормальную работу. То есть как бы подразумевается, что 10-й пункт надо выполнять с работающим этим ПО? Но в то же время про включение антивируса и фаервола сказано в 14-м пункте. Так что я не совсем понял, в каких условиях выполнять пункты 10-13. Я их выполнял с отключёнными антивирусом и фаерволом.

[Гриша]

Пофиксить

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,c:\windows\system32\undname.exe,c:\windows\system32\undname.exe,C:\WINDOWS\system32\ntos.exe_,C:\WINDOWS\system32\ntos___.exe,C:\WINDOWS\system32\ntosrrrrrrr.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: (no name) - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - (no file)
O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - (no file)
O16 - DPF: {11111111-1111-1111-1111-111111113457} - file://c:\ied_s7.cab
O16 - DPF: {11111111-1111-1111-1111-111191113457} - file://c:\ied_s7.cab
O16 - DPF: {11111111-1111-1111-1111-511111113457} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-511111113458} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-511111193457} - file://c:\x.cab
O16 - DPF: {11111111-1111-1111-1111-511111193458} - file://c:\x.cab
O16 - DPF: {24311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
O16 - DPF: {33331111-1111-1111-1111-611111193457} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-611111193458} - file://c:\ex.cab
O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - 
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - 
O20 - Winlogon Notify: abc32reg - C:\WINDOWS\
O20 - Winlogon Notify: abc32reg- - C:\WINDOWS\
O20 - Winlogon Notify: arm32reg - C:\WINDOWS\
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
O20 - Winlogon Notify: sysfldr - C:\WINDOWS\
O20 - Winlogon Notify: sysfldr- - C:\WINDOWS\
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - (no file)

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\undname.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntosrrrrrrr.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos___.exe','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 DeleteService('WINIO');
 QuarantineFile('C:\WINDOWS\System32\winio.sys','');
 DeleteService('smtpdrv');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys','');
 DeleteService('PowerManager');
 QuarantineFile('C:\WINDOWS\svchost.exe','');
 DeleteService('Microsoft Internet Explorer');
 QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
 DeleteService('FCI');
 QuarantineFile('C:\WINDOWS\system32\fci.exe','');
 DeleteFile('C:\WINDOWS\system32\fci.exe');
 DeleteFile('C:\WINDOWS\system32\_svchost.exe');
 DeleteFile('C:\WINDOWS\svchost.exe');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
 DeleteFile('C:\WINDOWS\System32\winio.sys');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\ntos___.exe');
 DeleteFile('C:\WINDOWS\system32\ntosrrrrrrr.exe');
 DeleteFile('c:\windows\system32\undname.exe');
 DeleteFile('C:\System Volume Information\_restore{D4F65979-5642-4923-85AE-98556F47F85B}\RP2\A0000802.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[surok]

Первым выполнил скрипт для AVZ, так как HijackThis при попытке пофиксить начал выдавать описанную выше ошибку.
Теперь приложения запускаются нормально.

[surok]

А отсутствие ответа означает, что логи чистые?..

[Bratez]

Пофиксите в HijackThis:

O3 - Toolbar: (no name) - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\kprof','');
 QuarantineFile('C:\WINDOWS\system32\poof','');
 QuarantineFile('c:\windows\system32\msvcrtd.exe','');
 QuarantineFile('C:\WINDOWS\system32\iasl.exe','');
 DeleteFile('C:\WINDOWS\system32\iasl.exe');
 DeleteFile('c:\windows\system32\msvcrtd.exe');
 DeleteFile('C:\WINDOWS\system32\poof');
 DeleteFile('C:\WINDOWS\system32\kprof');
BC_ImportDeletedList;
 BC_DeleteSvc('poof');
 BC_DeleteSvc('kprof');
 BC_DeleteSvc('msupdate');
 BC_DeleteSvc('ALGxmlprov');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил, если будет не пуст.
Сделайте новые логи, начиная с п.10 правил.

[surok]

При выполнении скрипта AVZ сообщил о каких-то ошибках, связанных с карантином (не успел прочитать). Когда началась перезагрузка, компьютер завис (после того, как исчезли значки с рабочего стола и остался только курсор).
После перезагрузки ресетом в карантине файлов не было.

[Bratez]

В принципе все хорошо, еще немножно мусора можно подчистить -

Пофиксите в HijackThis:

O23 - Service: BrlAPI - Unknown owner - C:\cygwin\bin\cygrunsrv.exe (file missing)

Выполните скрипт в AVZ:

begin
 BC_DeleteSvc('winmgmthelpsvc');
 BC_DeleteSvc('BrlAPI');
 BC_DeleteSvc('Qytr76');
BC_Activate;
RebootWindows(true);
end.

Если проблем больше нет, то на этом всё.

[surok]

Вроде проблем нет. Спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 23
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\олеся\\application data\\mozilla\\firefox\\profiles\\pxxg7091.default \\extensions\\firebit@firebit\\components\\firebit .dll - not-a-virus:AdWare.Win32.Kitsune.b (DrWEB: Trojan.BitAcc.4)
  2. c:\\program files\\virtualnetwork\\virtualnetwork.dll - Trojan.Win32.ConnectionServices.aa (DrWEB: Trojan.AdVirtualNetwork)
  3. c:\\system volume information\\_restore{d4f65979-5642-4923-85ae-98556f47f85b}\\rp2\\a0000802.exe - Trojan-Downloader.Win32.Mutant.agi (DrWEB: Trojan.Rntm.6)
  4. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.cni (DrWEB: Trojan.Packed.511)