Показано с 1 по 9 из 9.

Проблемы в работе monoca32.exe (заявка № 86317)

  1. #1
    Junior Member Репутация
    Регистрация
    13.08.2010
    Сообщений
    11
    Вес репутации
    24

    Exclamation Проблемы в работе monoca32.exe

    Добрый день!
    На рабочем компьтере коллеги возникли проблемы с быстродействием. После проведенного анализа, перестал грузиться антивирус (NOD32), а также перестали запускаться AVZ и HJT, в связи с чем что-либо пофиксить или исполнить скрипт не представляется возможным.
    В логах HJT обратил внимание на

    O2 - BHO: mzdlibP - {753A8E27-66CF-424B-9DF1-D821231E7E9F} - (no file)
    O4 - Startup: monoca32.exe

    Прошу подсказать решение проблемы.
    Спасибо!
    Вложения Вложения

  2. Реклама
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    524
    - Выполните скрипт в AVZ в безопасном режиме
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     SetServiceStart('TermServiceMDM', 4);
     QuarantineFile('c:\Temp\ttcaga.dat 0yAAAAAAAA','');
     QuarantineFile('C:\Documents and Settings\user95\Главное меню\Программы\Автозагрузка\monoca32.exe','');
     QuarantineFile('C:\WINDOWS\system32\wpv921233855689.cpx srv','');
     DeleteFile('C:\Documents and Settings\user95\Главное меню\Программы\Автозагрузка\monoca32.exe');
     DeleteFile('c:\Temp\ttcaga.dat 0yAAAAAAAA');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Drivers32','midi9');
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteWizard('TSW', 2, 2, true);
     ExecuteWizard('SCU', 2, 2, true);
     RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
    - Скачайте RSIT тут. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

  4. #3
    Junior Member Репутация
    Регистрация
    13.08.2010
    Сообщений
    11
    Вес репутации
    24
    Выполнить скрипты в безопасном режиме не представилось возможным, т.к. сисадмин запоролил вход в данном режиме. Он пролечил машину, сказал, что все в порядке. После лечения появилась возможность запуска AVZ и HJT. Я снял логи, AVZ показал, что служба терминалов была остановлена, из автозагрузки исчез monoca32.exe, однако остальные файлы, указанные в скрипте к помещению в карантин и удалению, остались.
    Выполнил указанные скрипты, снял логи
    Вложения Вложения

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    524
    1. Скачайте "OSAM" Online Solutions Autorun Manager тут. В меню драйверов правой кнопкой по nssde и выберите "Turn Run Off". Перезагрузку подтвердите.

    2.Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     DeleteService('TermServiceMDM');
     QuarantineFile('C:\WINDOWS\system32\Drivers\nssde.sys','');
     QuarantineFile('C:\WINDOWS\system32\wkkjum.exe','');
     QuarantineFile('C:\WINDOWS\system32\6fd2de3d.exe','');
     QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
     DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
     DeleteFile('C:\WINDOWS\system32\6fd2de3d.exe');
     DeleteFile('C:\WINDOWS\system32\wkkjum.exe');
     DeleteFile('C:\WINDOWS\system32\Drivers\nssde.sys');
     DeleteFile('C:\WINDOWS\system32\wpv921233855689.cpx srv');
     DeleteFile('C:\Program Files\Common Files\keylog.txt');
     DeleteFileMask('C:\Program Files\Common Files\wm', '*.*', true);
     DeleteDirectory('C:\Program Files\Common Files\wm');
     if FileExists ('%windir%\system32\sfcfiles.dll') then
       begin
        if CheckFile('%windir%\system32\sfcfiles.dll')=3 then
           begin
             QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
             QuarantineFile('%windir%\system32\sfcfiles.dll','');
             QuarantineFile('%windir%\system32\mssfc.dll','');
             DeleteFile('%windir%\system32\drivers\sfc.sys');
             DeleteFile('%windir%\system32\mssfc.dll');
             AddToLog('%windir%\system32\sfcfiles.dll прошел по базе безопасных');
             SaveLog('sfcfiles.log');
           end
          else
           begin
             AddToLog('%windir%\system32\sfcfiles.dll не прошел по базе безопасных');
             QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
             QuarantineFile('%windir%\system32\sfcfiles.dll','');
             QuarantineFile('%windir%\system32\mssfc.dll','');
             DeleteFile('%windir%\system32\drivers\sfc.sys');
             DeleteFile('%windir%\system32\mssfc.dll');
             RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
             if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
               begin
                if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
                  begin
                   CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                   AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
                   SaveLog('sfcfiles.log');
                  end
                 else
                  begin
                   AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
                   SaveLog('sfcfiles.log');
                   if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
                     begin
                      if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                        begin
                         CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                         AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                         SaveLog('sfcfiles.log');
                        end
                       else
                        begin
                         AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
                         SaveLog('sfcfiles.log');
                        end;
                     end
                    else
                     begin
                      AddToLog('Файл sfcfiles.dll отсутствует в i386');
                      SaveLog('sfcfiles.log');
                     end;
                  end;
               end
              else
               begin
                AddToLog('Файл sfcfiles.dll отсутствует в кеше');
                SaveLog('sfcfiles.log');
                if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
                  begin
                   if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                     begin
                      CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                      AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                      SaveLog('sfcfiles.log');
                     end
                   else
                    begin
                      AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
                      SaveLog('sfcfiles.log');
                    end;
                  end
                 else
                  begin
                   AddToLog('Файл sfcfiles.dll отсутствует в i386');
                   SaveLog('sfcfiles.log');
                  end;
               end;
             DeleteFile('%windir%\system32\sfcfiles.bak');
             SaveLog('sfcfiles.log');
           end;
       end
      else
       begin
         AddToLog('файл sfcfiles.dll отсутствует в  %windir%\system32\');
         QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
         QuarantineFile('%windir%\system32\mssfc.dll','');
         DeleteFile('%windir%\system32\drivers\sfc.sys');
         DeleteFile('%windir%\system32\mssfc.dll');
         if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
           begin
            if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
              begin
               CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
               AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
               SaveLog('sfcfiles.log');
              end
             else
              begin
               AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
               SaveLog('sfcfiles.log');
               if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
                 begin
                  if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                    begin
                     CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                     AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                     SaveLog('sfcfiles.log');
                    end
                   else
                    begin
                     AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
                     SaveLog('sfcfiles.log');
                    end;
                 end
                else
                 begin
                  AddToLog('Файл sfcfiles.dll отсутствует в i386');
                  SaveLog('sfcfiles.log');
                 end;
              end;
           end
          else
           begin
            AddToLog('Файл sfcfiles.dll отсутствует в кеше');
            SaveLog('sfcfiles.log');
            if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
              begin
               if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
                 begin
                  CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
                  AddToLog('Замена sfcfiles.dll успешно произведена из i386');
                  SaveLog('sfcfiles.log');
                 end
               else
                begin
                  AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
                  SaveLog('sfcfiles.log');
                end;
              end
             else
              begin
               AddToLog('Файл sfcfiles.dll отсутствует в i386');
               SaveLog('sfcfiles.log');
              end;
           end;
         DeleteFile('%windir%\system32\sfcfiles.bak');
         SaveLog('sfcfiles.log');
       end;
     BC_ImportALL;
     ExecuteSysClean;
     BC_DeleteFile('%windir%\System32\sfcfiles.bak');
     BC_DeleteSvc('sfc');
     BC_DeleteFile('C:\WINDOWS\system32\wpv921233855689.cpx srv');
     BC_DeleteSvc('TermServiceMDM'); 
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - скачайте новую версию AVZ - 4.35
    - обновите базы AVZ
    - Сделайте повторные логи по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)
    - файл sfcfiles.log прикрепите к сообщению

  6. #5
    Junior Member Репутация
    Регистрация
    13.08.2010
    Сообщений
    11
    Вес репутации
    24
    Сделал все необходимое
    Логи:
    Вложения Вложения

  7. #6
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,498
    Вес репутации
    2914
    Проблема решена?
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  8. #7
    Junior Member Репутация
    Регистрация
    13.08.2010
    Сообщений
    11
    Вес репутации
    24
    Хотелось бы верить, что решена, по крайней мере, трудностей в работе машины не замечено.
    В логе AVZ обнаружил файл C:\WINDOWS\system32\Drivers\pyunrh.sys

  9. #8
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,498
    Вес репутации
    2914
    Цитата Сообщение от VladimirSmit Посмотреть сообщение
    В логе AVZ обнаружил файл C:\WINDOWS\system32\Drivers\pyunrh.sys
    проверьте на virustotal
    Ссылку на результат проверки сообщите

    Но, по моему, это драйвер OSAM
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  10. #9
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,521
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 19
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) VladimirSmit, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. были проблемы с monoca32,ща sisgbi32 помогите удалить (заявка №28313)
      От CyberHelper в разделе Отчеты сервиса лечения VirusInfo
      Ответов: 1
      Последнее сообщение: 31.08.2010, 21:00
    2. Снес monoca32, но проблемы остались
      От RA200 в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 27.08.2010, 11:50
    3. Monoca32, Qhost и проблемы
      От ipswitch в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 17.08.2010, 09:06
    4. Ответов: 17
      Последнее сообщение: 11.08.2010, 12:33
    5. Проблемы с Monoca32.exe
      От Xopyc в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 10.08.2010, 23:09

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00609 seconds with 22 queries