Симптомы следующие: изменился дизайн кнопки Пуск, в панели задач не отображаются открытые окна. Исчезли сетевые подключения. Не работает буфер обмена.
Symantec находит Trojan Horse. KAV 5.xx обнаруживает файл msdnc6.exe, удаляет, после перезагрузки файл появляется.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('C:\Documents and Settings\vertogradov.ok\Application Data\CcmExec.exe','');
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.
Сделайте лог HijackThis.
восстановление системы отключить не могу: "ошибка восстановления системы при включении/отключении ..." предлагает перегрузить и попробывать еще.
А.. Есть еще вторая машина, которая имеет те же симптомы. Юзер в отпуске. Машина включена. Симптомы возникли только сегодня утром..
добавляю 2 лога:
другая машина- другая тема и другие логи ;)
логи должны быть сделаны из нормального режима, и обновить базы авз перед исследованием нужно.
[B]перечитайте правила.[/B]
2 пункт я бы ещё сделал .
файл отправил через кнопку "прислать запрошенные файлы". Получилось?
explorer.exe под подозрением, отправлен в ЛК.
C:\Documents and Settings\vertogradov.ok\Application Data\CcmExec.exe
в карантин не попал - поищите его вручную (через AVZ).
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\vertogradov.ok\Application Data\CcmExec.exe,
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
[/code]
Больше ничего плохого не вижу.
C:\WINDOWS\system32\DefLib.sys - хвостик болтается в реестре.
Зачистим:
[CODE]begin
setAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]
[quote=Bratez;133084]explorer.exe под подозрением, отправлен в ЛК.
C:\Documents and Settings\vertogradov.ok\Application Data\CcmExec.exe
в карантин не попал - поищите его вручную (через AVZ).
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\vertogradov.ok\Application Data\CcmExec.exe,
O2 - BHO: (no name) - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - (no file)
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
[/code]
Больше ничего плохого не вижу.[/quote]
файл не нашел :?. пофиксил
[size="1"][color="#666686"][B][I]Добавлено через 19 минут[/I][/B][/color][/size]
[quote=PavelA;133090]C:\WINDOWS\system32\DefLib.sys - хвостик болтается в реестре.
Зачистим:
[code]begin
setAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_ImportDeletedList;
BC_DeleteFile('C:\WINDOWS\system32\DefLib.sys');
BC_Activate;
RebootWindows(true);
end.[/quote]
зачистил. обновил базы (предыдущие были от 02.09). запустил скрипт №3 "лечениея/карантина и сбора информации" жду результата. логи добавлю
пока без изменений. все вышеназваные симптомы остались :'-(
Проверьте, работают ли службы "Удаленный вызов процедур" и "Рабочая станция".
удаленный вызов процедур не работает. при двойном щелчке или правая кнопка\свойства ничего не происходит (так же как и в других оснастках mmc). Запустить службу нельзя. Пишет что то ..помечена на удаление...
Службы рабочая станция вообще нет. Служб в списке зрительно - третья часть, запущеных - штук 7
Скачайте на другом компьютере свежий CureIt, запишите его на CD и проверьте свой, запуская программу прямо с CD. Проверку сделать [B]полную[/B], а не только экспресс. Потом видимо придется переустановить Windows поверх вашей восстановлением.
[size="1"][color="#666686"][B][I]Добавлено через 41 минуту[/I][/B][/color][/size]
Пришел ответ насчет explorer.exe - вредоносный код не обнаружен.
виндовс переустановил поверх. нужно было до утра запустить комп. НО...
есть еще один с такими же симптомами, хозяин которого еще неделю в отпуске. Продолжу завтра на нем. Может будут напутствия?
[QUOTE]Может будут напутствия?[/QUOTE]
Логи с того компа - в отдельную тему, будем смотреть.
Скрипты из этой темы там не применяйте.
подскажите, после переустановки поверх Windows комп ожил, однако не удается запустить службу Сервер и, соответственно Обозреватель компьютеров. При попытке запустить службу Сервер вручную выдает:
"не удалось запустить службу Сервер ошибка 87 параметр задан не верно"
[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]
в журнале просмотр событий\система есть запись в момент старта службы при включении компа:
"В реестре отсутствует запись LanmanServer\Linkage"
что можно поправить?
Экспортируйте в regedit'e ключ реестра
HKLM\System\CurrentControlSet\ Services\LanmanServer
Полученный reg-файл заархивируйте и прикрепите сюда.
закачал. раздела Linkage там действительно нет
Скопируйте код в текстовый файл с расширением .reg и импортируйте в реестр (двойной клик по файлу):
[code]
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\Linkage]
"Bind"=hex(7):5c,00,44,00,65,00,76,00,69,00,63,00,65,00,5c,00,4e,00,65,00,74,\
00,62,00,69,00,6f,00,73,00,53,00,6d,00,62,00,00,00,5c,00,44,00,65,00,76,00,\
69,00,63,00,65,00,5c,00,4e,00,65,00,74,00,42,00,54,00,5f,00,54,00,63,00,70,\
00,69,00,70,00,5f,00,7b,00,31,00,43,00,32,00,31,00,45,00,43,00,30,00,45,00,\
2d,00,38,00,33,00,43,00,44,00,2d,00,34,00,35,00,31,00,41,00,2d,00,41,00,42,\
00,41,00,31,00,2d,00,43,00,36,00,33,00,31,00,39,00,38,00,34,00,46,00,32,00,\
30,00,38,00,34,00,7d,00,00,00,5c,00,44,00,65,00,76,00,69,00,63,00,65,00,5c,\
00,4e,00,65,00,74,00,42,00,54,00,5f,00,54,00,63,00,70,00,69,00,70,00,5f,00,\
7b,00,39,00,34,00,43,00,38,00,35,00,35,00,31,00,43,00,2d,00,32,00,33,00,46,\
00,43,00,2d,00,34,00,41,00,41,00,45,00,2d,00,42,00,41,00,42,00,31,00,2d,00,\
34,00,37,00,45,00,41,00,38,00,32,00,32,00,37,00,43,00,37,00,37,00,33,00,7d,\
00,00,00,5c,00,44,00,65,00,76,00,69,00,63,00,65,00,5c,00,4e,00,65,00,74,00,\
42,00,54,00,5f,00,54,00,63,00,70,00,69,00,70,00,5f,00,7b,00,31,00,45,00,42,\
00,34,00,44,00,37,00,37,00,42,00,2d,00,41,00,38,00,43,00,36,00,2d,00,34,00,\
41,00,44,00,34,00,2d,00,42,00,43,00,36,00,42,00,2d,00,35,00,42,00,45,00,33,\
00,42,00,31,00,34,00,33,00,35,00,46,00,44,00,37,00,7d,00,00,00,5c,00,44,00,\
65,00,76,00,69,00,63,00,65,00,5c,00,4e,00,65,00,74,00,42,00,54,00,5f,00,54,\
00,63,00,70,00,69,00,70,00,5f,00,7b,00,32,00,45,00,33,00,45,00,39,00,44,00,\
37,00,45,00,2d,00,34,00,33,00,45,00,31,00,2d,00,34,00,33,00,31,00,32,00,2d,\
00,39,00,39,00,42,00,32,00,2d,00,44,00,33,00,32,00,44,00,44,00,46,00,44,00,\
44,00,30,00,34,00,41,00,44,00,7d,00,00,00,00,00
"Route"=hex(7):22,00,4e,00,65,00,74,00,62,00,69,00,6f,00,73,00,53,00,6d,00,62,\
00,22,00,00,00,22,00,4e,00,65,00,74,00,42,00,54,00,22,00,20,00,22,00,54,00,\
63,00,70,00,69,00,70,00,22,00,20,00,22,00,4e,00,64,00,69,00,73,00,57,00,61,\
00,6e,00,49,00,70,00,22,00,00,00,00,00
"Export"=hex(7):5c,00,44,00,65,00,76,00,69,00,63,00,65,00,5c,00,4c,00,61,00,6e,\
00,6d,00,61,00,6e,00,53,00,65,00,72,00,76,00,65,00,72,00,5f,00,4e,00,65,00,\
74,00,62,00,69,00,6f,00,73,00,53,00,6d,00,62,00,00,00,5c,00,44,00,65,00,76,\
00,69,00,63,00,65,00,5c,00,4c,00,61,00,6e,00,6d,00,61,00,6e,00,53,00,65,00,\
72,00,76,00,65,00,72,00,5f,00,4e,00,65,00,74,00,42,00,54,00,5f,00,54,00,63,\
00,70,00,69,00,70,00,5f,00,7b,00,31,00,43,00,32,00,31,00,45,00,43,00,30,00,\
45,00,2d,00,38,00,33,00,43,00,44,00,2d,00,34,00,35,00,31,00,41,00,2d,00,41,\
00,42,00,41,00,31,00,2d,00,43,00,36,00,33,00,31,00,39,00,38,00,34,00,46,00,\
32,00,30,00,38,00,34,00,7d,00,00,00,5c,00,44,00,65,00,76,00,69,00,63,00,65,\
00,5c,00,4c,00,61,00,6e,00,6d,00,61,00,6e,00,53,00,65,00,72,00,76,00,65,00,\
72,00,5f,00,4e,00,65,00,74,00,42,00,54,00,5f,00,54,00,63,00,70,00,69,00,70,\
00,5f,00,7b,00,39,00,34,00,43,00,38,00,35,00,35,00,31,00,43,00,2d,00,32,00,\
33,00,46,00,43,00,2d,00,34,00,41,00,41,00,45,00,2d,00,42,00,41,00,42,00,31,\
00,2d,00,34,00,37,00,45,00,41,00,38,00,32,00,32,00,37,00,43,00,37,00,37,00,\
33,00,7d,00,00,00,5c,00,44,00,65,00,76,00,69,00,63,00,65,00,5c,00,4c,00,61,\
00,6e,00,6d,00,61,00,6e,00,53,00,65,00,72,00,76,00,65,00,72,00,5f,00,4e,00,\
65,00,74,00,42,00,54,00,5f,00,54,00,63,00,70,00,69,00,70,00,5f,00,7b,00,31,\
00,45,00,42,00,34,00,44,00,37,00,37,00,42,00,2d,00,41,00,38,00,43,00,36,00,\
2d,00,34,00,41,00,44,00,34,00,2d,00,42,00,43,00,36,00,42,00,2d,00,35,00,42,\
00,45,00,33,00,42,00,31,00,34,00,33,00,35,00,46,00,44,00,37,00,7d,00,00,00,\
5c,00,44,00,65,00,76,00,69,00,63,00,65,00,5c,00,4c,00,61,00,6e,00,6d,00,61,\
00,6e,00,53,00,65,00,72,00,76,00,65,00,72,00,5f,00,4e,00,65,00,74,00,42,00,\
54,00,5f,00,54,00,63,00,70,00,69,00,70,00,5f,00,7b,00,32,00,45,00,33,00,45,\
00,39,00,44,00,37,00,45,00,2d,00,34,00,33,00,45,00,31,00,2d,00,34,00,33,00,\
31,00,32,00,2d,00,39,00,39,00,42,00,32,00,2d,00,44,00,33,00,32,00,44,00,44,\
00,46,00,44,00,44,00,30,00,34,00,41,00,44,00,7d,00,00,00,00,00
[/code]
По идее должно помочь, хотя на 100% не уверен...
[url]http://www.mb13.ru/winfaq/winnt/712.htm[/url]
- это случай, когда неудачно деинсталлировали TCP/IP
М.б. Вам тоже поможет.
Есть еще вариант: переустановить драйвера сетевой карты.
К Lanman еще куча параметров привязана, может и их не хватает.
[B]Bratez[/B], спасибо. службы запустились. Посмотрю на дальнейшее поведение компьютера. Возможно воспользуюсь советом [B]PavelA[/B],
Спасибо всем за помощь!