Printable View
Здравствуйте.
Итак, проблема - спонтанно при работе винды вылазиет ошибка следующего характера: [URL=http://img57.imageshack.us/my.php?image=errcl8.jpg][IMG]http://img57.imageshack.us/img57/8967/errcl8.th.jpg[/IMG][/URL], затем после нажатия "Close message" explorer перезапускается.
Какой-либо закономерности в процессе вылетания ошибки установить не удалось, так что целиком и полностью уповаю на Вас.
Логи прилогаю.
обновите базы авз
выполните скрипт ...
[code]
begin
DeleteService('Evmkpdde');
QuarantineFile('Evmkpdde.sys','');
QuarantineFile('c:\windows\bisoncam\bisonhk.exe','');
DeleteFile('Evmkpdde.sys');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
Скрипт выполнен, карантин выслан, в карантин добавился почему-то только один файл - bisonhk.exe. Думаю это не то, т.к. BisonCam - название моей вебкамеры.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
DeleteService('Evmkpdde');
QuarantineFile('c:\windows\System32\drivers\Evmkpdde.sys','');
DeleteFile('c:\windows\System32\drivers\Evmkpdde.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Evmkpdde');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
Выполнил, прилогаю карантин и логи.
З.Ы.: при выполнении скрипта вылезла такая-же шняга, после чего компьютер планово перезагрузился.
Такие логи больше не приму: У Вас все приложения в автозапуске сидят? >:(
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
[/CODE]
Больше ничего плохого не вижу.
В авторане сидят пять приложений, что Вам не понравилось? Что хотите посоветовать? :)
[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]
Added:
Некоторое время спустя правки в HiJackThis повторно вылезла такая табличка.
[QUOTE=Twistah;277859]В авторане сидят пять приложений, что Вам не понравилось? Что хотите посоветовать? :)[/QUOTE]
1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. В карточке Службы - Службы Windows не показывать, остальные отключить.
4. Перегрузить систему
Посмотрите, сколько должно остаться :)
[QUOTE=Twistah;277859]
Некоторое время спустя правки в HiJackThis повторно вылезла такая табличка.[/QUOTE]
Почитайте тут: [url]http://support.microsoft.com/?scid=kb%3Bru%3B875352&x=14&y=9[/url]
Ну это понятно.. что такое DEP я уже читал, а вот бывают ли у него "ложные тревоги" и имеют ли они место быть в моём случае - незнаю. В настройках DEP включено "Enable For essential applications only", переставил в значение "Enabled for all processes except below: "Windows explorer"", посмотрим чем обернётся. Опции "Disabled for all" нету.
Ваши мысли по поводу?
З.Ы.: в авторане ничего вредного вроде не сидит.
[QUOTE=Twistah;277885]
З.Ы.: в авторане ничего вредного вроде не сидит.[/QUOTE]Вредное мы попытались удалить. Сидит там однако много ненужного, а при выполнении лечения - мешающего.
Удалил из автозагрузки всё кроме:
gnotify-приложение gmail, следящее за новыми входящими сообщениями
egui-гуй нода
cfp-гуй файрволла
msnmsgr-мсн
daemon-даймон тулз
g6ftptray-гуй фтп сервера
wcescomm-активсинк для тела
ctfmon-хз что, но iexplorer обратился к нему, когда я его запустил
hotkeydriver-драйвер хоткеев для лаптя
monitor apache servers - гуй апача
realtek.... - рилтековская прога
mysqlsystemtraymonitor - гуй для работы со скулем
В сервисах оставил:
apache tomcat
apache 2.2
comodo...
eset http server
eset service
gene6 ftp server
mysql
radmin server v3
Там-же мне показалось странной строчка сервиса: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762##
Перед перезагрузкой, при удалении RealVNC через add/remove ещё раз вылезла эта херь. После перезагрузки пока всё тихо..
Как действовать дальше?
[QUOTE=Twistah;277907]
Как действовать дальше?[/QUOTE]Понаблюдайте. Может кто-то Вам что-то через VNC всучить пытается?
Если опять полезет - сделайте логи в таком состоянии ПК.
через внц- исключено, сегодня переехал в общежитие на время учёбы- там другой провайдер вообще.
Система пока работает стабильно.. наблюдаем..
[size="1"][color="#666686"][B][I]Добавлено через 1 час 25 минут[/I][/B][/color][/size]
Так.. опять 25.. только на этот раз без какой-либо ошибки, просто перезагружает explorer.exe. Сейчас пойду делать логи..
Логи:
Исправленный syscheck(с отключенными антивирусом и файрволлом):
По моему скромному разумению у Вас работают 2 файврвола
[CODE]C:\Program Files\ESET\ESET NOD32 Antivirus\eguiEpfw.dll Eset Personal Firewall UI Copyright (c) Eset 1992-2008.
C:\WINDOWS\System32\DRIVERS\cmdguard.sys COMODO Firewall Pro Sandbox Driver 2005-2008 COMODO. All rights reserved. [/CODE]
А так не бывает.
Удалите Comodo.
Странно это.. у Nod'a в настройках нет опций, связанных с файрволлом. Удалил комодо (в восторге от него), наблюдаю за поведением системы.
[size="1"][color="#666686"][B][I]Добавлено через 40 минут[/I][/B][/color][/size]
Не помогло, только что при попытке запуска Dreamweaver CS3 программа закрылась без сообщения об ошибке и explorer перезапустился. И почему то слетела лицензия на весь Adobe CS3
мой компьютер - свойства - быстродействие - Предотвращение выполнения данных
переключать как установлен ? попробуйте добавить explorer в список исключений ...
На данный момент стояло "For all programs", настройки были перепробованы любые- везде одно и то же, для чистоты эксперемента сделал как Вы посоветовали, о результатах отпишусь.
[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]
И снова, на этот раз с ошибкой, как положено:)
вы отключили dep для explorer и все равно выдается ошибка ? ... интересно