Кто-то убил Explorer - подозрение на вирус.

[ddkk]

Здравствуйте, уважаемые.

Проблема следующая.

Win XP Prof. SP2
Не запускается процесс Explorer (не путать с IE). При загрузке системы появляется на мгновение (мигает таскбар) и пропадает (и визуально и из списка процессов). При ручном запуске - тоже самое: мигает на мгновение и умирает.

На вирусы проверял (конечно с последними апдейтами):
- Avira AntiVir (ничего не нашел)
- AVZ (нашел только подозрение на трояна. см. лог)
- Spybot S&D (нашел только нехорошие куки - почистил)
- Hijackthis (нашел что-то, но я не понимаю значения этих строк - см. лог)


Список процессов смотрю: Process Explorer

Восстановление системы на помогло: ни из Safe Mode, ни из обычного сеанса.

Последнее действие которое я сделал перед появлением ошибки - посещение сайта http://globs.org и скачивание (не установка) расширения External Editor для ThunderBird. Ссылку взял из статьи на IXBT: http://www.ixbt.com/soft/thunderbird_addons.shtml

Помогите, плиз!
Идеи?

[Макcим]

Ваша версия AVZ устарела. Скачайте новую версию и сделайте логи по правилам.

[ddkk]

А как выполнить этот пункт:

" Windows XP:
Пуск > Пpогpаммы > Стандаpтные > Пpоводник Windows. (Start > Programs > Accessories > Windows Explorer)
Кликнуть пpавой кнопкой мыши на "Мой компьютеp" (My Computer). Выбpать "Свойства" (Properties).
Вкладка "Восстановление системы" (System Restore). Поставить птичку на "Запpетить восстановление системных файлов на всех дисках" (Turn off System Restore on all drives)
Hажать "Пpименить" (Apply). Появится сообщение, пpедупpеждающее об удалении всех точек восстановления. Подтвеpдить, нажав "ОК"."

Если у меня нет Explorer'а и в принципе не могу зайти в свойства "Моего компьютера"? Чере панель управления это возможно сделать?

[Update]

Пока просто отключил сервис System Restore.

[Макcим]

Чере панель управления это возможно сделать?

Попробуйте, если не получиться, пока не страшно. Главное чтобы во время лечения не придумали сделать "откат".

[ddkk]

Вот Логи. Заранее спасибо.

Кстати, вот здесь есть ветка: http://forum.ixbt.com/topic.cgi?id=4:81492
Так там многим помогает удаление Explorer.EXE из HKLM\Software\Microsoft\WindowsNT\CurrentVersion\I mage File Execution Options

Так вот - это не мой случай. Нет там у меня ссылки на Explorer.exe

PS: Сижу на работе и жду Ваших рекомендаций!

[Макcим]

Выполните скрипты в AVZ

1.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ExecuteRepair(5);
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteRepair(9);
 ExecuteRepair(16);
RebootWindows(false);
end.

2.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('D:\WINDOWS\system32\netware\NWWS2SLP.DLL','');
 QuarantineFile('D:\WINDOWS\system32\nwspool.dll','');
 QuarantineFile('C:\Soft\backup\Winrar backup\Loader.exe','');
 QuarantineFile('D:\WINDOWS\system32\drivers\ScFBPNT.SYS','');
 QuarantineFile('D:\WINDOWS\system32\Drivers\PROCEXP100.SYS','');
 QuarantineFile('D:\WINDOWS\system32\sstray.exe','');
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

3.

begin
 CreateQurantineArchive(GetAVZDirectory+'virus.zip');
end.

Загрузите файл virus.zip из папки AVZ по этой ссылке.

[ddkk]

Карантин закачал.

Скрипты выполнил последовательно. После выполенения каждого - перезагрузка.

Жду инструкций.

[Update]

Loader.exe - безопасный файл. я им запускаю винраровский бэкапщик (через батники) в фоновом режиме. Написал в пару строчек мой хороший приятель. Пользуюсь давно.

[Макcим]

Скрипты выполнил последовательно. После выполенения каждого - перезагрузка.

Так и должно быть.
Explorer работает нормально?

[ddkk]

нет

[Rene-gad]

Последнее действие которое я сделал перед появлением ошибки - посещение сайта http://globs.org и скачивание (не установка) расширения External Editor для ThunderBird. Ссылку взял из статьи на IXBT: http://h**p://www.ixbt.com/soft/thun...d_addons.shtml

Аддонзы для модзиллов нужно только отсюда брать: https://addons.mozilla.org/
Посмотрим-ка ещё Ваш Ескплорер

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('explorer.exe','');
end.

Карантин закачайте, плиз.

[ddkk]

Вот все новые логи. Explorer в карантин не копируется - лог прилагается.

[Макcим]

D:\WINDOWS\system32\ooscrsav.scr - Вы сами ставили в автозапуск?
D:\WINDOWS\Explorer.EXE - пришлите его как написано в правилах.

[ddkk]

это скринсейвер от O&O Defragmentation - получается, что сам.

(странно что он в автозапуске стоит. я не против его удалить)

[ddkk]

Explorer.exe не добавляется в карантин. нет доступа.

[Alex_Goodwin]

А в безопасном режиме?

[ddkk]

В безопасном режиме руками в тотал коммандере скопировал. Щас вышлю. Зип архив. Пароль - virus.

[Update]
Выслал

[Rene-gad]

@ddkk
не знаю, порадует ли Вас эта новость, но файл оригинальный от МС .
EDIT: Можете посмотреть, что записал Винд в протоколе событий (см. по времени запуска системы, т.е. когда Explorer.ехе запускался и уходил в никуда) ?
Мысль вслух: почему-то я всегда был уверен, что Винда без процесса Explorer.ехе вообще работать не может. Значит может. Или что-то заменяет этот процесс. Но что?

[ddkk]

2Rene-gad

конечно меня эта новость не радует... Делать-то что?
Какая-то новая зараза?

[Макcим]

В том то и дело, что это скорее всего не зараза. Возможно зараза была, и это её последствия...

[ddkk]

Странно. Не заметил момента ее удаления. На каком этапы мы избавились от нее?

Завтра попробую восстановить систему с установочного диска. Если не поможет - переустанавливать систему...

Блин. И антивирус включен и пользуюсь только фаерфоксом (вместо IE) и время от времени АVZ включаю и все последние обновления на ХП стоят, а все-рано гадости пролазят всякие...