слетели службы XP, не ставятся антивирусы [Rootkit.Win32.Necurs.jc ]

Очень прошу помощи!! Началось с вируса. Троян и руткиты. Стоял Microsoft Security Essentials - он и поймал, удалил. Сделала быструю проверку, перегрузила - слетела с антивируса защита в режиме реального времени. в службах XP - служба "Автоматического обновления" вообще отсутствует, через ftp вирус пробрался на хостинг. пробовала Not-32 - не ставится, avast - ставится, запускается, но не работает. Security пробовала по всякому - защита в режиме реального времени не появляется. AVPTool - один раз запустился, нашел букет, потом - ни в какую. Вирус . в общем беда да и только.
да, в инструкции сказано должно быть 3 файла - у меня virusinfo_syscure.zip не появляется, все по инструкции делала... сразу syscheck.zip

Уважаемый(ая) [B]miraland[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Drivers\777f3568d1e00bf5.sys','');
QuarantineFile('C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev\ijow.exe','');
DeleteFile('C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev\ijow.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ijow');
DeleteFileMask('C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev', '*', true, ' ');
DeleteDirectory('C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(false);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Полученный архив [b]quarantine.zip[/b] из папки с распакованной утилитой AVZ отправьте согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis[/URL] (некоторые строки могут отсутствовать).

[CODE]
O4 - HKCU\..\Run: [Ijow] "C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev\ijow.exe"
[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Загрузите GMER по одной из указанных ссылок:
[B][URL="http://www.gmer.net/download.php"]Gmer со случайным именем[/URL][/B] [I](рекомендуется)[/I], [B][URL="http://www.gmer.net/gmer.zip"]Gmer в zip-архиве[/URL][/B] [I](перед применением распаковать в отдельную папку)[/I][*][B]Временно[/B] отключите драйверы эмуляторов дисков.[*]Запустите программу (пользователям [I]Vista/Seven[/I] запускать от имени [B]Администратора[/B] по правой кнопке мыши).[*]Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите [B]No[/B].[*]После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

[LIST][*][B][COLOR="Blue"]Sections[/COLOR][/B][*][B][COLOR="Blue"]IAT/EAT[/COLOR][/B][*][B][COLOR="Blue"]Show all[/COLOR][/B][/LIST][*]Из всех дисков оставьте отмеченным только системный диск (обычно [B]C:\[/B])[*]Нажмите на кнопку [B]Scan[/B] и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите [B]OK[/B].[*]После окончания проверки сохраните его лог (нажмите на кнопку [B]Save[/B]) и вложите в сообщение.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Выполнила 2 первых скрипта. получила файл карантина guarantine.zip - не смогла загрузить через "прислать запрошенный карантин" - ответ:
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен.
????

Выполняйте остальное. В карантин ничего не попало.

По порядку:
1. Выполнила в AVZ скрипты, сохранился quarantine.zip, но отправить его я так и не смогла. С тем же результатом - Результат загрузки
Ошибка загрузки. Данный файл уже был загружен.
2. Пофиксить в HiJackThis не удалось - такой строки нет. Повторные логи сделала все равно: по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)"
3. Загрузила Grem со случайным именем. отключила драйверы, запустила программу - комп ругнулся - как именно - сделала скрин grem1.jpg
4. Лог Grem получился.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

кстати, интересное дело - я изменила название файла карантина, который не отправлялся - результат тот-же. Система его не пропускает. -
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

Сохраните приведённый ниже текст в файл [b]cleanup.bat[/b] в ту же папку, где находится 7p8gmebc.exe случайное имя утилиты (gmer)
[CODE]
7p8gmebc.exe -del service 777f3568d1e00bf5
7p8gmebc.exe -del file "C:\WINDOWS\System32\Drivers\777f3568d1e00bf5.sys"
7p8gmebc.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\777f3568d1e00bf5"
7p8gmebc.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\777f3568d1e00bf5"
7p8gmebc.exe -reboot
[/CODE]
И запустите сохранённый пакетный файл [b]cleanup.bat[/b].

Внимание: Компьютер перезагрузится!

Сделайте новый лог gmer.

все сделала запустила сохранённый пакетный файл cleanup.bat. - и комп стал ругаться. скрин отсылаю. Компьютер не перезагружался.
лог gmer я на всякий случай все равно сделала - в приложении

GMER не справляется. Сделайте лог TDSSKiller.

[LIST=1][*]Скачайте архив [url=http://support.kaspersky.ru/downloads/utils/tdsskiller.zip]TDSSKiller.zip[/url] и распакуйте его в отдельную папку;[*]Запустите файл [B][I]TDSSKiller.exe[/I][/B].[*]Нажмите кнопку "[b]Начать проверку[/b]". Не меняйте настройки сканирования по умолчанию.[*]В процессе проверки могут быть обнаружены объекты двух типов:[list][*]вредоносные (точно было установлено, какой вредоносной программой поражен объект);[*]подозрительные (тип вредоносного воздействия точно установить невозможно).[/list][*]По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.[*]Для вредоносных объектов утилита автоматически определяет действие: [b]Лечить[/b] или [b]Удалить[/b].[*]Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию [b]Пропустить[/b]).[*][B][COLOR="Red"]Самостоятельно без указания консультанта ничего не удаляйте!!![/COLOR][/B][*]После нажатия кнопки [b]Продолжить[/b] утилита выполняет выбранные действия и выводит результат.[*]Прикрепите лог утилиты к своему следующему сообщению[/list]По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: [i]ИмяУтилиты.Версия_Дата_Время_log.txt[/i]
Например, [i]C:\TDSSKiller.2.4.7_23.07.2010_15.31.43_log.txt[/i]

готово. у меня получилось 2 лога - отсылаю оба. и варианта "Лечение" не было. или убить, или карантин. я поставила карантин.

1. Найдите в корне системного диска (обычно это диск [i]C:[/i]) папку [b][i]TDSSkiller_Quarantine[/i][/b];
2. Запакуйте эту папку в архив с паролем "[B]virus[/B]";
3. Полученный архив отправьте согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

Запустите еще раз TDSSKiller для объекта C:\WINDOWS\System32\Drivers\777f3568d1e00bf5.sys выберите удаление (Delete). После удаления и перезагрузки сделайте новый лог TDSSKiller.

готово. файл карантина тоже отправился.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

и "любимый" svchost тут же принялся грузить проц на 100%...

Сделайте новый лог GMER

что я могу сказать... все как бы стало на места. автообновление, смогла поставить анитвирус винды, он даже "позеленел" - потом пошла за логом gmer. снесла антивирус, отключила драйвера, отключила брандмауэр, перегрузила, запустила Gmer - он без глюков запустился, ничего не нашел на первом этапе, я поставила галку на диске С:\. долго работал, а потом снес мне систему.
появился синий экран с текстом
ошибка KERNEL_STACK_INPAGE_ERROR
че с этим делать - я точно не знаю. :(
внизу еще код был 0хС0000007

винда начинает грузится, появляется заставка с надписью Windows и бегающей строкой и на этом все. дальше загрузка не идет.

В безопасном режиме компьютер грузится?

комп загрузился в обычном режиме. я его включила - и оставила. он минут за 30-40 таки загрузился. пробовала перегрузить - очень тормозит, причем весь. на загрузку может уйти минут 5-10. и все действия ну очень медленны..

Сделайте лог [url="http://www.freedrweb.com/cureit/"]DrWebCureit[/url]. Лог запакуйте в архив и прикрепите.

+ Когда просканируете CureIt он найдёт заражённый драйвер
[CODE]C:\WINDOWS\System32\Drivers\777f3568d1e00bf5.sys[/CODE]
и предложит его вылечить, согласитесь с этим.

После этого сделайте новый лог TDSSkiller

лог DrWebCureit готов

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

лог TDSSkiller . сейчас перегружусь, повторю еще раз.
у меня не прикрепляется этот лог.
а в менеджере вложений есть способность удалять лишнее?
Написано: Загруженные файлы которые не используются будут удалены в течении часа - а у меня там файлы болтаются с 2010 года. как его самостоятельно очистить?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

лог TDSSkiller . сейчас перегружусь, повторю еще раз.
у меня не прикрепляется этот лог.
а в менеджере вложений есть способность удалять лишнее?
Написано: Загруженные файлы которые не используются будут удалены в течении часа - а у меня там файлы болтаются с 2010 года. как его самостоятельно очистить?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

таки справилась со вложениями, прошу прощения за бестолковость

Кажется добили руткит. :)

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])