sdra64.exe, может что-то еще

[Second_Fry]

Приветствую всех!
Пришел на работу, у одного из сотрудников сломался личный ноутбук, попросил помочь.

Windows Vista Home Basic SP1:
при обычной загрузке:
долго грузится, потом мелькает BSOD
при попытке загрузится через F8 - Безосапный режим:
начинает загружаться, зависает на каком-то драйвере

Загрузился с Ubuntu, поднял под вайном Cure It!, стал сканировать. 30 минут - никаких результатов. Проверил winlogon ветку в реестре при помощи chntpw. Вроде чисто.

Загружаюсь в висту при помощи F10 - /safeboot:minimal
У клавиатуры не меняется раскладка
Открываю msconfig, смотрю автозагрузку - sdra64.exe. CureIt'ом проверяю содержащую их папку, он удаляет его и еще один, название, к сожалению, не запомнил.

Загрузится потом в обычный режим не удалось. Загружаюсь в F10 - /safeboot:network

Сейчас загружаю антивирус (хотя установить видимо не смогу) и проверяюсь CureIt'ом

Какие-нибудь дальнейшие указания без логов могут быть? Если загрузится в обычный режим не получится, логи сделать в безопасном режиме?

[Шапельский Александр]

Если загрузится в обычный режим не получится, логи сделать в безопасном режиме?

Да.

[PavelA]

В Ключе userinit, где userinit, оттуда надо sdra64.exe убрать.

[Second_Fry]

Я же говорю проверял Winlogon ветку, userinit параметр был чист.
Еще раз проверил сейчас. Тоже чист.
Вообще sdra64.exe лежал в C:\Users\1\AppData\Roaming, а не в C:\Windows\System32

[Шапельский Александр]

Сделайте логи, а там видно будет где этот sdra64.exe находится.

[Second_Fry]

Here it is

Кстати, при сканировании я заметил рекурсию, сканер шлялся по ярлыкам. C:\Users\1\Application Data\Application Data\Application Data\Application Data\...
Это нормально?

[Шапельский Александр]

Выполните скрипт

begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WindowsSystem32\IoLogMsg.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Сделайте лог MBAM

[PavelA]

Кстати, при сканировании я заметил рекурсию, сканер шлялся по ярлыкам. C:\Users\1\Application Data\Application Data\Application Data\Application Data\...
Это нормально?

Да, есть недоработки

[Second_Fry]

SearchRootkit(true, true); - ошибка драйвера
SetAVZGuardStatus(True); - ошибка драйвера
Соответственно нету карантина. Могу попробовать руками упаковать и отослать.

Лог MBAM'а

[Шапельский Александр]

Удалите в MBAM

Заражено ключей реестра:
HKEY_CLASSES_ROOT\CLSID\{fffc57db-1de3-4303-b24d-cee6dcdd3d86} (Adware.MyCentria) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{fffc57db-1de3-4303-b24d-cee6dcdd3d86} (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{fffc57db-1de3-4303-b24d-cee6dcdd3d86} (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mycentria (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MyCentria (Adware.MyCentria) -> No action taken.
Заражено папок:
C:\Program Files\MyCentria (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\Firefox (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\InfoBar (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\MyCentriaUninstall.exe (Adware.MyCentria) -> No action taken.

Сделайте лог MBAM

[Second_Fry]

Один раз удалось загрузится в нормальный режим. Я удалил ESET, он попросил перезагрузку, больше загрузится не получилось.

Начал загружаться с "Отключить автоматическую перезагрузку при отказе системы" и собственно вижу BSOD.
UNMOUNTABLE_BOOT_VOLUME
*** STOP: 0x000000ED (0x85AF5848,0xC000003A,0x0,0x0)

В безопасный режим загружается нормально.
chkdsk /r
Оставил на следующую перезагрузку. MBAM исправил нормально, сейчас сканирую еще раз.

Лог исправления:

[Second_Fry]

Ничего нового не нашлось:

[Шапельский Александр]

В логе чисто.

[Second_Fry]

Если получится загрузить в обычном режиме, выполнить действия из #7?

UPD: Наверное, стоит попробовать выполнить sfc /SCANNOW, так как chkdsk /r, кажется, не помог

[Шапельский Александр]

стоит попробовать выполнить sfc /SCANNOW

Пробуйте.

Если получится загрузить в обычном режиме, выполнить действия из #7?

Да

[PavelA]

UPD: Наверное, стоит попробовать выполнить sfc /SCANNOW, так как chkdsk /r, кажется, не помог

ОТ: Я пришел на работу, включил компьютер и он не загрузился. С ним пробился день, на утро восстановил диск с Акроникс и был счастлив. Потерял только почту за последний день.

[Second_Fry]

Я загрузился в обычном режиме.
Карантин вновь пустой.
Новые логи.

UPD: Avast не запускается. Периодически вылазят сообщения о "ошибке" диска, хотя chkdsk проходит чистым.
UPD2: OT: да, такое решение было бы самым лучшим...

[PavelA]

Выполнить:

begin
 QuarantineFile('C:\Windows\system32\drivers\blbdrive.sys','');
end.

если попадет что-то в карантин, то прислать.

[Second_Fry]

Ошибка карантина файла, попытка прямого чтения (C:\Windows\system32\drivers\blbdrive.sys)
 Карантин с использованием прямого чтения - ошибка

Та же ошибка и в предыдущем случае (из #7)

Ошибка карантина файла, попытка прямого чтения (C:\WindowsSystem32\IoLogMsg.dll)
 Карантин с использованием прямого чтения - ошибка

[Second_Fry]

Творится что-то странное. Перестали открываться панель управления и свойства о системе.

Плюс вылазит всплывающее уведомление, противоречащее само себе (explorer.exe - C:\Program Files\Mail.ru)

Короче, загружусь с лайв системы и отправлю эти два запрошенных файла в архиве