Printable View
Приветствую вас!
Помогите выбраться из того, во что вляпался:
установил человеку Авиру и... вобщем, после блокирования авирой червя, комп не грузится. почти. не запускается експлорер. виндузовый.
сижу возле чисто-голубого экрана с указателем мыши и через диспетчер запускаю почти любые проги. вот только explorer.exe не могу.
короче- ХЕЛП, СОС, ПЛИИИЗ!!!
выполните пункт 2 правил .... проверка CureIt обязательно предварительно записав на cd на чистой машине ...
затем повторите логи ....
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
и не забудьте перед проверкой отключить Восстановление системы
рад бы отключить, но как это сделать, не загружая оболочку explorer-А?
Не подскажете?
да, проверял ВСЕ авирой с сегодняшними базами. Этого недостаточно?
Следует выполнить скрипт:
[code]
begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\drwatson.exe','');
QuarantineFile('C:\WINDOWS\Registration\CRMLog\Star Office 9.pif','');
QuarantineFile('C:\WINDOWS\Registration\CRMLog\Harry Potter e book.doc.pif','');
end.
[/code]
И прислать карантин согласно правилам
[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]
[quote=bdn135;167177]рад бы отключить, но как это сделать, не загружая оболочку explorer-А?
Не подскажете?
да, проверял ВСЕ авирой с сегодняшними базами. Этого недостаточно?[/quote]
См. мой ответ номер 4 ... пришлите файлы, после их анализа все можно будет получить скриптом
[QUOTE=bdn135;167177]рад бы отключить, но как это сделать, не загружая оболочку explorer-А?
Не подскажете?
да, проверял ВСЕ авирой с сегодняшними базами. Этого недостаточно?[/QUOTE]
у вас есть тотал командер ... можно запустить при помощи диспетчера задач ...(он работает )
карантин прислал. в него только 2 файла попали
V_Bond, плиз поподробнее, как это сделать? (отключить восстановление) моего копутера я не вижу, панель управления не запускается- для ее загрузки эксплорер требуется (пробовал запустить контрол.ехе)
как? я не волшебник, да и ученик ленивый...
[quote=bdn135;167183]карантин прислал. в него только 2 файла попали
V_Bond, плиз поподробнее, как это сделать? (отключить восстановление) моего копутера я не вижу, панель управления не запускается- для ее загрузки эксплорер требуется (пробовал запустить контрол.ехе)
как? я не волшебник, да и ученик ленивый...[/quote]
Сейчас посмотрю файлы и попробуем скриптом вернуть работоспособности системе, а потом будем добивать остальное ...
[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]
[quote=bdn135;167183]карантин прислал. в него только 2 файла попали
V_Bond, плиз поподробнее, как это сделать? (отключить восстановление) моего копутера я не вижу, панель управления не запускается- для ее загрузки эксплорер требуется (пробовал запустить контрол.ехе)
как? я не волшебник, да и ученик ленивый...[/quote]
Ну что, попробуем полечиться ... Следует выполнить скрипт:
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
DeleteFile('C:\WINDOWS\drwatson.exe');
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
ExecuteRepair(17);
RebootWindows(true);
end.
[/code]
Компьютер уйдет на перезагрузку, после нее в теории проводник должен запуститься. По файлам - это червяк почтовый, разновидность Scano (собственно куча подозрений на PE_Type1 - это и есть файлы червяка). AVZ завтра после обновления баз начнет его детектить, можно будет поубивать им или применять CureIt
[QUOTE=bdn135;167183]V_Bond, плиз поподробнее, как это сделать? (отключить восстановление) моего копутера я не вижу, панель управления не запускается- для ее загрузки эксплорер требуется (пробовал запустить контрол.ехе)
как? я не волшебник, да и ученик ленивый...[/QUOTE]
что ленивый точно :rolleyes: вам для информации ...
диспетчер задач ... новая задача ... mscofig ... Запустить восстановление системы - параметры восстановления - отключить
класс, система ожила! хотя бы внешне.
Что теперь сделать? куреит по полной программе, авз и хайджек?
восстановление отключил.
[quote=bdn135;167198]класс, система ожила! хотя бы внешне.
Что теперь сделать? куреит по полной программе, авз и хайджек?
восстановление отключил.[/quote]
Теперь отрубить восстановление системы, и пролечиться CureIt свежим. После этого сделать логи заново - для контроля
[QUOTE=V_Bond;167194]что ленивый точно :rolleyes: вам для информации ...
диспетчер задач ... новая задача ... mscofig ... Запустить восстановление системы - параметры восстановления - отключить[/QUOTE]
вотза это- спасибо сердечное
и так
я снова добрался до компа
пролечил куреитом, выполнил скрипты АВЗ, которые и прилагаю
да, еще авирой нашел несколько java- тварей и пару троянов в кэше прокси и не думая грохнул их.
Взгляните, плиз, на результаты
[QUOTE=V_Bond;167194]что ленивый точно :rolleyes: вам для информации ...
диспетчер задач ... новая задача ... mscofig ... Запустить восстановление системы - параметры восстановления - отключить[/QUOTE]
Я Вас приветствую!
Кстати, этот способ не описан в "правилах", а , я думаю, далеко не мне одному он не известен...
выполните скрипт ....
[code]
begin
BC_QrSvc('Cdf0ppoe');
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
карантин и инфектед пусты...
зато исчезла видимая проблема- не было возможности перенастроить заставку logon
выполните скрипт ...
[code]
begin
BC_DeleteSvc('Cdf0ppoe');
BC_Activate;
RebootWindows(true);
end.
[/code]
cделайте новый virusinfo_syscheck.zip
готово
взгляните
в логах чисто .... (только хвост от касперского болтается) ...
стоит закрыть ненужное из этого списка
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: разрешен автоматический вход в систему
позакрывал удаленный реестр и терминальные службы
Поживем- посмотрим, как дела пойдут
Спасибочки
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\registration\\crmlog\\harry potter e book.doc.pif - [B]Email-Worm.Win32.Scano.bd[/B] (DrWEB: Win32.HLLM.Perf)[*] c:\\windows\\registration\\crmlog\\star office 9.pif - [B]Email-Worm.Win32.Scano.bd[/B] (DrWEB: Win32.HLLM.Perf)[/LIST][/LIST]