Упал рабочий стол и старые логи

Наконец на работе отдали комп на растерзание. Сразу с лету запустила Курит, что там поубивалось, затем первый скрипт АВЗ. ВСЕ... После этого пришлось срочно отбросить этот комп занятся другими.

И вот я щас странной ситуации - Рабочий стол улетел,открывается сразу папка мои документы : - ( ) ... Восстановление стола не помогло.

Вот что мне лучше сделать щас - Выслать старый лог (от 20го числа), ибо чтото упало в карантин, что то в инфектед...
или - Начать с нуля? (но ведь вы не увидете что убилось и что попало в старые логи...)

Зачем с нуля? После выполнения первого лога ничего не менялось, возможность запускать программы не пропала - значит доделывайте оставшиеся логи и прикрепляйте сюда.
Можно и карантин сразу загрузить.

По [B]твоему личному запросу[/B], высылаю ЭТИ логи (правила читала).
Жду :)

Карантин выслан...

Профиксить в Hijackthis:

[CODE]F2 - REG:system.ini: Shell=
O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Documents\Settings\arm32.dll (file missing)
O21 - SSODL: Shell - {CC4E4F6D-1C53-4B69-A08D-B8679566F414} - mswshell.dll (file missing)
[/CODE]

Думаю это восстановит раб. стол.
Если не поможет , то AVZ - Восст. системы -- п.5,8 отметить - Выполнить.

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: Shell=
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O9 - Extra button: Vegas Red Casino - {D5AE2D6D-38A7-425c-86C0-E4ABBDB9EC68} - C:\Casino\Vegas Red Casino\casino.exe (file missing)
O9 - Extra 'Tools' menuitem: Vegas Red Casino - {D5AE2D6D-38A7-425c-86C0-E4ABBDB9EC68} - C:\Casino\Vegas Red Casino\casino.exe (file missing)
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Documents\Settings\arm32.dll (file missing)
O21 - SSODL: Shell - {CC4E4F6D-1C53-4B69-A08D-B8679566F414} - mswshell.dll (file missing)
[/code]
Перезагрузитесь.
Поищите файл C:\WINDOWS\system3 через AVZ.
Если найдется - пришлите по правилам.

Уже выполнила совет ПавлаА:


Профиксить в Hijackthis:

Код:
F2 - REG:system.ini: Shell=
O20 - Winlogon Notify: arm32reg - C:\Documents and Settings\All Users\Documents\Settings\arm32.dll (file missing)С
O21 - SSODL: Shell - {CC4E4F6D-1C53-4B69-A08D-B8679566F414} - mswshell.dll (file missing)
Стол восстановлен

[size="1"][color="#666686"][B]Добавлено через 34 минуты[/B][/color][/size]
Bratez: Пофиксила . System3 на диске С нет.

Тогда пофиксите еще
[code]
O4 - HKLM\..\Run: [WMDM PMSP Service] C:\WINDOWS\system3
[/code]
и наверно всё, я больше ничего подозрительного не вижу.

Теперь наверное, прогнать все правила?

Да, чтобы сомнений не осталось.

логи

выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
ClearHostsFile;
DeleteFile('c:\documents and settings\all users\documents\settings\arm32.dll');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
и вы выполняли рекомендации [B]Bratez[/B]?
если нет,то выполните.

эээ... в этой теме вроде никто скриптов не давал... только советы пофиксить... так что выполню сейчас...

Вы это фиксили?
[code]
O4 - HKLM\..\Run: [WMDM PMSP Service] C:\WINDOWS\system3[/code]
Оно опять в логах сияет. И про hosts я, каюсь, забыл.
Выполните такой скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system3','');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки прикрепите в тему файл boot_clr.log из папки с AVZ.
Если карантин будет не пустой - пришлите по правилам.
Потом такой скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system3');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
ClearHostsFile;
RebootWindows(true);
end.
[/code]
и после перезагрузки логи еще раз.

свежие логи
карантин выслан
файл [I]boot_clr.log из папки с AVZ[/I] не крепится, но он не большой - вот он:
[QUOTE]Quarantine path: \??\C:\Documents and Settings\sergei\Desktop\Свежак\AVZ\Quarantine\2007-07-03\
QuarantineFile \??\C:\WINDOWS\system3 - failed (0xC0000034)
QuarantineFile \??\C:\WINDOWS\system3 - failed (0xC0000034)
-- End --[/QUOTE]

После последнего скрипта, комп не показал рабочий стол, пришлось перегрузить еще раз. Последние логи делались уже с последним обновлением, и в карантин упал файл.

Что ж такое, опять Hosts как будто и не чистили...
Выполните скрипт:
[code]
begin
ClearQuarantine;
ClearHostsFile;
BC_QrSvc('MySql');
BC_QrSvc('TAPI_Server');
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите карантин по правилам.

В Файл hosts кто-то гадит. Можно FileMon скачать и посмотреть.

Чистый ХР в очередной раз - это круто. Есть ощущение, что он лицензионный. Неплохо бы хотя бы один SP накатить.

[quote=Bratez;120209]Что ж такое, опять Hosts как будто и не чистили...
Выполните скрипт:
Пришлите карантин по правилам.[/quote]

Отправлен.
Свежие логи приложены.

СПАСИБО.

В связи с тем, что что то там не вычищается, проверила 2мя еще программами, в надежде, что поможет:

---------------------------------------------------------
Анализ программами [B]AdAwareSe:[/B]
[QUOTE] [SIZE="1"][COLOR="Red"]Win32.Trojan.Delf Найден объект![/COLOR]
Тип : Ключ регистра
Дата :
Категория : Malware
Комментарий :
Корн.ключ : HKEY_CLASSES_ROOT
Объект : clsid\{21384d29-1240-2d4f-a15c-17e42823d523}

[COLOR="Red"] Win32.TrojanSpy.BZub Найден объект![/COLOR]
Тип : Ключ регистра
Дата :
Категория : Monitoring Tool
Комментарий :
Корн.ключ : HKEY_CLASSES_ROOT
Объект : appid\{21384d29-1240-2d4f-a15c-17e42823d523}[/SIZE][/QUOTE]

---------------------------------------------------------------------------------------

Анализ программы [COLOR="black"][COLOR="black"][B]SpyBot Search And Destroy[/B][/COLOR][/COLOR]
[QUOTE][SIZE="1"][COLOR="Red"]Cimuz:[/COLOR] Настройки (Значение реестра, nothing done) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Control

[COLOR="Red"]GEZBill.Fake:[/COLOR] Класс ID (Ключ реестра, nothing done) HKEY_CLASSES_ROOT\CLSID\{21384D29-1240-2d4f-A15C-17E42823D523}
[COLOR="Red"]Microsoft.Windows.IEFirewallBypass:[/COLOR] Настройки (Значение
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Program
t Explorer\IEXPLORE.EXE
[COLOR="Red"]Microsoft.Windows.IEFirewallBypass:[/COLOR] Настройки (Значение
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\C:\Program
t Explorer\IEXPLORE.EXE
[COLOR="Red"]Microsoft.Windows.Security.InternetExplorer: [/COLOR]Настройки (Изменение
HKEY_USERS\S-1-5-21-1229272821-1708537768-725345543-1003\Software\Microsoft\Internet
N\iexplore.exe!=W=1
[COLOR="Red"]TelekomBill.Fake:[/COLOR] Настройки (Значение реестра, nothing done) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Control
[COLOR="Red"]TelekomBill.Fake:[/COLOR] Настройки (Значение реестра, nothing done) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Control
[COLOR="Red"]Win32.ProAgent.21:[/COLOR] Настройки удалителя (Ключ реестра,
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\&RQ
[COLOR="Red"]Win32.RAdmin.Zenworks:[/COLOR] Библиотеки (Файл, nothing done) C:\WINDOWS\system32\raddrv.dll[/SIZE][/QUOTE]

:? :? :?

[size="1"][color="#666686"][B]Добавлено через 13 минут[/B][/color][/size]
[quote=PavelA;120237]В Файл hosts кто-то гадит. Можно FileMon скачать и посмотреть.[/quote]

Скачала, что и как смотреть?

[quote=PavelA;120237] Чистый ХР в очередной раз - это круто. Есть ощущение, что он лицензионный. Неплохо бы хотя бы один SP накатить.[/quote]

Да с работы комп, постоянно работали, не подлезть было...

В логах ничего не наблюдаю. :( Грустно как-то становится.
То, что пишет Adware, можно прочистить, но основного не видно.

Пишу про FileMon.
1. Чистим файл Hosts.
Можно через Avz
[CODE]begin
ClearHostsFile;
end.
[/CODE]
2.Запускаем FileMon. Меню Volumes - оставляем галочку только на диске С
3.Далее Options - filter - в первой строчке hosts.
Пробуем запустить IE, какие-либо другие программы
4. Смотрим, кто туда пишет. Если находим, меню File -- Save -- лог присылаем.

[quote=PavelA;120725]
4. Смотрим, кто туда пишет.[/quote]

ээээ... более поподробней тут можно :embarasse
Какойто определенный путь надо увидеть?

в колонке [B]Request[/B],если появятся записи [B]WRITE[/B] то сохраните лог.