Printable View
Доброе время суток! Дело такое: при обычной загрузке винды пытаюсь войти в профиль со страницы приветствия, начинает загрузка профиля и сразу сохранение, и выкидывает опять на страницу приветствия. В безопасном режиме профиль грузится. Были какие то трояны их AVZ почистил, а лог я сразу не сохранил. Сечас выкладываю последние логи. Грешу на вирус. Помогите разобраться.
Скорее всего была подмена userinit.exe', надо его заменить на чистый с другой системы. Плюс рассадник вирусов :(
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\clear.exe','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\TEMP\NT1509232.exe','');
QuarantineFile('C:\Program Files\Internet Explorer\SETUPAPI.dll','');
DeleteFile('C:\Program Files\Internet Explorer\SETUPAPI.dll');
DeleteFile('C:\WINDOWS\TEMP\NT1509232.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Загрузить карантин. Сделать новые логи.
Карантин отправил. Скоро логи выложу.
Выкладываю логи.
После замены userinit.exe на заведомо чистый с другой машины все пошло. Спасибо Вам за это. Вы делаете очень благое дело. Удачи вам во всем.
Не убегайте. Файлик один надо проверить.
Packed.Generic.110 по Симантеку. Добиваем:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\Temp\clear.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После этого новые логи с п.10 Правил.
Хорошо.
Вот что у тебя было по классификации ЛК:
clear.exe - Backdoor.Win32.NoNeed.a,
SETUPAPI.dll - Trojan.Win32.Agent.qtj,
userinit.exe - Trojan.Win32.Agent.qry
Скрипт выполнил. Сейчас логи выложу
Вот логи. на всякий случай выкладываю все
Вот это все надо удалить:
Прямое чтение C:\WINDOWS\system32\userinit1.exe
Прямое чтение C:\WINDOWS\Temp\NT6232.exe
Прямое чтение C:\WINDOWS\Temp\NT5E32.exe
Прямое чтение C:\WINDOWS\Temp\NT14A0932.exe
Если самому сложно, то напишу скрипт.
хорошо
Папку C:\WINDOWS\Temp лучше очистить полностью.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\setupapi.dll - [B]Trojan.Win32.Agent.qtj[/B] (DrWEB: Trojan.DownLoader.62734)[*] c:\\windows\\system32\\userinit.exe - [B]Trojan.Win32.Agent.qry[/B] (DrWEB: Trojan.PWS.Lich)[*] c:\\windows\\temp\\clear.exe - [B]Backdoor.Win32.NoNeed.a[/B] (DrWEB: Trojan.Inject.3258)[/LIST][/LIST]