Printable View
В safe mode также, как и в обычном заблокирован запуск всех программ. Диспетчер отключен, реестр заблокирован, ничего не могу запустить, чтобы выполнить лечение в соответствии с правилами. Восстановление разумеется тоже не могу отключить.
Загрузился с реаниматора. Прогнал curit и avz нашел около 36 троянов, которые были вроде удалены. Перезагрузился в safe mode - ничего не изменилось. CD тоже заблокирован - только флэшку видит.
Что попробовать сделать?
откройте ключ HKEY_CLASSES_ROOT\exefile\shell\open\command\ больной системы
значение должно быть ... [B] "%1" %*[/B] после этого попробуйте запустить авз ...
там этот ключ и так стоит...
[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]
А можно ли отключить функцию автовосстановления, не входя в винды, если жесткий диск доступен из под другой системы?
[QUOTE=ab777;244618]там этот ключ и так стоит...
[/QUOTE]
вы смотрели реестр больной оси или диска ... ?
больной оси...
ie запускается ?
простой explorer запускается... ie не пробовал, но макстон не запускается
pingpong.pif - переименованный AVZ [url]http://rapidshare.com/files/116949749/pingpong.pif.html[/url]
Скачайте, попробуйте запустить, если не получится, переименуйте его в WinRar.exe и снова попробуйте запустить.
exe шники в принципе не запускаются никакие. сейчас попробую с пингпонгом...
[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]
Please enter the following code when downloading. Only enter symbols attached to a cat.
This is for security reasons. Premium users can jump this step.
Не понимаю, какие я должен симвылы выбрать, чтобы скачать... :-)))
Хрень какая-то с буквами пририсована, не пойму.
А можно с нормального хостинга скачать какого-нибудь, без извращенных кодов?
Там не сложно. Вы должны ввести четыре символа с кошкой. Их всего четыре, остальные символы с существом похожим на кошку, но не с кошкой :) Попробуйте.
Ну я смысл-то понял, только кошек не могу отличить :-)))
Сейчас еще попробую
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
О, чудо! вроде угадал! :-))) Пойду попробую запустить.
Проверил ie не работает
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
запустился авз - пойду скрипты запускать...
[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]
Я пингпонг с флэшки запустил, а куда будут логи писаться? На флэшку?
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
Определил три перехватчика, которые не определил:
IRP_MJ_DEVICE_CONTROL
IRP_MJ_LOCK_CONTROL
IRP_MJ_PNP
Они судя по всему перехватывают управление и не дают ничего запустить. Вирусы пока не видит. Сканирование продолжается... Много файлов...
[size="1"][color="#666686"][B][I]Добавлено через 32 минуты[/I][/B][/color][/size]
Во время проверки отреагировал norton antivirus, кого-то поймал. (хотя в трее его не видно было)
По правилам его вроде отключить надо, а отключить-то я не могу...
Пусть проверяет дальше?
естественно пусть проверяет ....
Сделайте хотя бы лог по пункту 10 правил.
Третий не прицепляю, так как программу запустить не могу - все заблокировано...
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
SetServiceStart('Google Online Services', 4);
QuarantineFile('NvQTwk.exe','');
QuarantineFile('kdiql.exe','');
QuarantineFile('E:\WINDOWS\herjek.exe','');
QuarantineFile('E:\WINDOWS\pxgdslro.dll','');
QuarantineFile('E:\WINDOWS\winlogon.exe','');
QuarantineFile('E:\WINDOWS\System32\MAT2.scr','');
QuarantineFile('E:\WINDOWS\system32\drivers\MTictwl.sys','');
QuarantineFile('E:\Program Files\ie_updates3r.exe','');
QuarantineFile('E:\WINDOWS\system32\BiCMonNT.dll','');
QuarantineFile('E:\WINDOWS\system32\BiMMonNT.dll','');
QuarantineFile('E:\WINDOWS\gnowmebk.dll','');
DeleteFile('E:\WINDOWS\gnowmebk.dll');
DeleteFile('E:\Program Files\ie_updates3r.exe');
DeleteFile('E:\WINDOWS\winlogon.exe');
DeleteFile('E:\WINDOWS\pxgdslro.dll');
DeleteFile('E:\WINDOWS\herjek.exe');
DeleteFile('kdiql.exe');
DeleteService('Google Online Services');
BC_ImportALL;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
[size="1"][color="#666686"][B][I]Добавлено через 46 секунд[/I][/B][/color][/size]
Повторите логи.
Карантин пустой, поэтому нечего архивировать...
что-то еще надо делать?
Лог HijackThis делался до логов AVZ?
1.Пофиксить в HijackThis следующие строчки, если такие будут ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: Shell=Explorer.exe "E:\WINDOWS\system32\hwqz472.exe"
O2 - BHO: WRL Advisor - {5AB14FEE-E161-455B-9A60-91AE848F8FA0} - E:\WINDOWS\nldfmtapefs.dll
O2 - BHO: E:\WINDOWS\System32\hdxjd4g.dll - {B5AC49A2-94F2-42BD-F434-2604812C897D} - E:\WINDOWS\System32\hdxjd4g.dll
O2 - BHO: E:\WINDOWS\System32\djki397g.dll - {B5AF0562-94F3-42BD-F434-2604812C797D} - E:\WINDOWS\System32\djki397g.dll
O4 - HKLM\..\Run: [runwinlogon] E:\WINDOWS\winlogon.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Hhjg5jfd93dftdf] E:\WINDOWS\TEMP\winlagon.exe
O4 - HKLM\..\Run: [System] E:\WINDOWS\System32\wind32.exe
O4 - HKLM\..\Run: [ntuser] E:\WINDOWS\system32\drivers\spools.exe
O4 - HKLM\..\Run: [autoload] E:\Documents and Settings\ASTA-2000\cftmon.exe
O4 - HKCU\..\Run: [Hhjg5jfd93dftdf] E:\WINDOWS\TEMP\winlagon.exe
O4 - HKCU\..\Run: [ntuser] E:\WINDOWS\system32\drivers\spools.exe
O4 - HKCU\..\Run: [HJdfke9kfdf] E:\DOCUME~1\ASTA-2~1\LOCALS~1\Temp\csrssc.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB0D2E74-25FC-44CC-BEBA-004984AE2C0D}: NameServer = 85.255.112.179
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.171 85.255.112.179
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.171 85.255.112.179
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.171 85.255.112.179
O21 - SSODL: gnowmebk - {928C6125-0366-4632-A4C6-8E029DF8DFE0} - E:\WINDOWS\gnowmebk.dll
O21 - SSODL: pxgdslro - {AFBFDE89-74D2-449B-8A35-D8B4B29ADF2D} - E:\WINDOWS\pxgdslro.dll (file missing) [/CODE]
После чего повторите лог HijackThis
2. [QUOTE]Platform: Windows XP SP2, v.1204 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1157)[/QUOTE]
Очень рекомендуется обновить систему до SP3
Вроде все чисто...
Портал интересует Ваше мнение о помощи в разделе "Помогите"
Вы можете его высказать в теме [url= http://virusinfo.info/showthread.php?t=19883]Скажи, что ты думаешь о Virusinfo[/url]
[quote=anton_dr;202455]
И, пока Вы ещё здесь, нам важно ваше мнение.
Всё ли Вам было понятно?
Устраивает ли Вас форма, в которой проходило лечение?
Нашли ли Вы полезные материалы у нас?
Чего, по Вашему мнению, нам не хватает?[/quote]