проконсультируйте по логам AVZ

здравствуйте.

ноут стал периодически полностью зависать и появились какие-то глюки - долгое выключение, при включение иногда не отражаются или отражаются не правильно значки в трее.

стоит фаервол outpost и avast. проверял cureit - ничего не нашел.
проверил AVZ на максимальном эврестическом уровне.
вот логи (меня смущают)
[URL="http://virusinfo.info/attachment.php?attachmentid=86828&stc=1&d=1224794283"]avz_log1.txt[/URL] краткий
[URL="http://virusinfo.info/attachment.php?attachmentid=86828&stc=1&d=1224794283"]avz_log.txt[/URL] полный

будьте добры, проконсультируйте. спасибо.

п.с. DELL 1520, Vista premium.

сказать можно одно, логи не правильные . сделайте как надо:[url]http://virusinfo.info/showthread.php?t=1235[/url]

сделал как вы сказали.
после первой проверки авз перегрузился, подключился к интернету, кликнул на иконку фаерфокса и ноут опять намертво повис, но как то по другому - курсор мыши реагировал на движение мышью.
перегрузился принудительно еще раз.
и выполнил все остальные пункты.

логи все равно что-то подозревают.
прошу вас, проверьте еще раз.

когда читаете инструкцию, нужно исполнять точно. Почему до сих пор этого не сделано, объясните.восстановление системы не отключили, антивирус с файрволом тоже забыли отключить.


отключить систему восстановления !!!
отключить интернет, антивирус и файрвол(чтобы было вам удобней отключить их автостарт ) -> {можно их вообще удалить, как видно заражение пропустили- значит нужно их менять/переинсталировать/настраивать на более жёсткиe настройки }

выполнить скрипт в AVZ {не забывать правой кнопкой запускать avz от имени администратора. }
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Windows\system32\btwhidcs.DLL','');
QuarantineFile('C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll','');
QuarantineFile('C:\Program Files\Dell\QuickSet\dadkeyb.dll','');
DelBHO('{A692062A-11A1-461B-BE98-B520F01F96FC}');
QuarantineFile('C:\PROGRA~1\ADVANC~1\aKiller.dll','');
QuarantineFile('C:\Program Files\AskSBar\SrchAstt\1.bin\A2SRCHAS.DLL','');
QuarantineFile('C:\Windows\system32\DRIVERS\nwlnkfwd.sys','');
QuarantineFile('C:\Users\olbanec\AppData\Local\Temp\WKXSNT.exe','');
QuarantineFile('C:\Users\olbanec\AppData\Local\Temp\JUF.exe','');
QuarantineFile('C:\Windows\System32\bcmwlrmt.dll','');
QuarantineFile('C:\Program Files\Mozilla Firefox\xul.dll','');
QuarantineFile('C:\Program Files\Mozilla Firefox\xpcom.dll','');
QuarantineFile('C:\Program Files\Mozilla Firefox\ssl3.dll','');
QuarantineFile('C:\Program Files\Mozilla Firefox\smime3.dll','');
QuarantineFile('C:\Program Files\Mozilla Firefox\softokn3.dll','');
QuarantineFile('C:\Program Files\Mozilla Firefox\sqlite3.dll','');
QuarantineFile('C:\Program Files\Mozilla Firefox\components\brwsrcmp.dll','');
QuarantineFile('C:\Program Files\Mozilla Firefox\components\browserdirprovider.dll','');
QuarantineFile('c:\windows\system32\wltrysvc.exe','');
DeleteFile('C:\Windows\System32\bcmwlrmt.dll');
DeleteFile('C:\Users\olbanec\AppData\Local\Temp\JUF.exe');
DeleteFile('C:\Users\olbanec\AppData\Local\Temp\WKXSNT.exe');
DeleteFile('C:\PROGRA~1\ADVANC~1\aKiller.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('WKXSNT');
BC_DeleteSvc('JUF');
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.[/code]


что у вас от pctools ? плохо удалился?
не забывать правой кнопкой запускать avz от имени администратора.


[b][color=brown]Дальнейший план действий:[/color][/b]

-пришлите карантин согласно приложения 3 правил ... [url]http://virusinfo.info/upload_virus.php?tid=32619[/url]

-включить AVZPM(
[url]http://virusinfo.info/showthread.php?t=12316[/url] )
-повторить логи, только пожалуйста не придумывайте что либо сами.

1. Система как я полагаю Vista ? В этом случае нужно запускать AVZ с правами администратора из меню по правой кнопке (если был обычный запуск, то логи лучше переделать)
2. Если компонента Groove в офисе не применяется, то лучше ее деинсталлить, воспользовавшись деинсталлятором офиса из "Установка и удаления программ". Это глючная вешь, внедряет свои DLL куда ни попадя ... Аналогично с программой Bonjour
3. В файле HOSTS какая-то странная запись - "::1 localhost"
4. В браузере имеются зловредные тулбюры, в частности Ask Toolbar. Их нужно деинсталлировать, если не найдутся деинсталляторы, то их можно прибить скриптом:
[CODE]begin
SetAVZGuardStatus(True);
DelBHO('{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}');
DelBHO('{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}');
DelBHO('{0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2}');
DeleteFile('C:\Program Files\AskSBar\SrchAstt\1.bin\A2SRCHAS.DLL');
DeleteFile('C:\Program Files\AskSBar\bar\1.bin\ASKSBAR.DLL');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]


Теперь по глюкам - в принципе система могла бы и не загрузиться - судя по логу виден Outpost в полном развороте, в плюс к нему стоит PCTOOLS CONTENT FILTER PROVIDER, да плюс еще avast!. Если в Outpost включена антивирусная компонента, то она может конфликтовать с монитором AVAST, аналогично с фильтрами трафика

[B]2drongo[/B] [QUOTE]
когда читаете инструкцию, нужно исполнять точно. Почему до сих пор этого не сделано, объясните.восстановление системы не отключили, антивирус с файрволом тоже забыли отключить.
[/QUOTE]
признавая свою криворукость, я подробно описываю симптомы и следую точно инструкции
[QUOTE]
отключить систему восстановления !!!
отключить интернет, антивирус и файрвол(чтобы было вам удобней отключить их автостарт ) -> {можно их вообще удалить, как видно заражение пропустили- значит нужно их менять/переинсталировать/настраивать на более жёсткиe настройки }[/QUOTE]
отключал систему восстановления(с перезагрузкой)
отключал антивирус и фаервол
отключал интернет
настройки все по максимуму
[QUOTE]
что у вас от pctools ? плохо удалился?
не забывать правой кнопкой запускать avz от имени администратора.
[/QUOTE]
pc tools вообще выключен. периодически пользуюсь для проверки - был случай когда только он нашел трояна
[QUOTE]
-включить AVZPM(
[url]http://virusinfo.info/showthread.php?t=12316[/url] )
-повторить логи, только пожалуйста не придумывайте что либо сами. [/QUOTE]
AVZPM при проверке был включен.
делаю все как вы говорите.
___________________

[B]2Зайцев Олег[/B]
да, стоит официальная Vista premium

[QUOTE]2. Если компонента Groove в офисе не применяется, то лучше ее деинсталлить, воспользовавшись деинсталлятором офиса из "Установка и удаления программ". Это глючная вешь, внедряет свои DLL куда ни попадя ... Аналогично с программой Bonjour
3. В файле HOSTS какая-то странная запись - "::1 localhost"
4. В браузере имеются зловредные тулбюры, в частности Ask Toolbar. Их нужно деинсталлировать, если не найдутся деинсталляторы, то их можно прибить скриптом:[/QUOTE]
спасибо, Ask Toolbar выключил и как то забыл. исправлю.

[QUOTE]Теперь по глюкам - в принципе система могла бы и не загрузиться - судя по логу виден Outpost в полном развороте, в плюс к нему стоит PCTOOLS CONTENT FILTER PROVIDER, да плюс еще avast!. Если в Outpost включена антивирусная компонента, то она может конфликтовать с монитором AVAST, аналогично с фильтрами трафика[/QUOTE]
pctools конфликтовал с outpost и я его выключил.
outpost работает только как фаервол(стоит на максимуме и запоролен)
avast только как антивирус
____
[B] сделаю диагностику еще раз. спасибо за участие [/B]

Я загадаю вам загадку:
Есть например 30 разных антивирусов .Также есть
30 уникальных вирусов в колекции.
Каждый антивирус знает только 1 вирус из этой коллекции, а другие антивирусы его не знают.
Вопрос:Вы поставите все 30 антивирусов ?

[B]2drongo[/B]
что сделано
1) отключены точки восстановления
2) в auslogic boost speed через редактор служб виндоус отключены аутпост(значок стал серым) и аваст
3) редактор служб показывает что pctools отключен(был бы включен с атупостом конфликтовал бы)
4) запущен ваш скрипт
5) ребут
6) загружается винда и что я вижу:
автоматическая маршрутизация ничего не маршрутизирут (cmd.exe вроде) (скорее всего это и есть та подмена о которой говорит AVZ)
отсутствие обоев - иконки на черном фоне и вот такие заявления
[IMG]http://img220.imageshack.us/img220/6650/81364416ao6.jpg[/IMG] [IMG]http://img529.imageshack.us/img529/8152/37351967jd9.jpg[/IMG]
подключение к интернету стало невозможным!
и активизировался OAK, а до скрипта был отключен!!
попытался(попытка не пытка) востановить через безопасный режим и
при нажатии альт-Ф8(на DELL такая система) вошел в окно выбора безопасного режима и... а клава то не работает.
попытался просто откатить до последней удачной конфигурации - тоже не получилось, а раньше при отключеном востановлении последняя конфигурация востанавливалась.
[B]прошу вас, нет умоляю! перепишите скрипт, откатите систему обратно![/B]
месторасположение AVZ c:\users\olbanec\desktop\avz4\avz4\quarantine

кстати:[QUOTE] В файле HOSTS какая-то странная запись - "::1 localhost"[/QUOTE]
возможно это указывает на то что на ноуте две оси?
убунта загружается через загрузчик висты.
пишу вам с линуха, но очень нужна виста в состояние "до скрипта" . поверьте, очень надо.
но раз уж ввязался в это дело, то вот вам последние логи сделаные как вы сказали.
[B]+[/B][QUOTE] -пришлите карантин согласно приложения 3 правил ... [url]http://virusinfo.info/upload_virus.php?tid=32619[/url][/QUOTE]

Результат загрузки
Файл сохранён как 081024_144233_2008-10-24_49022529a21a9.zip
Размер файла 18499978
MD5 dec19b7a443bb379e0a19a7eff59a397
Файл закачан, спасибо!

файл не запоролен как там просили. простите мою невнимательность-температура кроет.

надеюсь на вашу помощь. спасибо.

п.с. ask tool bar , bounjour, Groove и open office удалил перед диагностикой

да вроде не трогали ваш dell wireless. А переставить его есть возможность?
удалите полностью все программы защиты через панель управления.

[quote=drongo;301463][U]да вроде не трогали ваш dell wireless[/U]. А переставить его есть возможность?
удалите полностью все программы защиты через панель управления.[/quote]
[SIZE=3][I]само тронулось, да?[/I][/SIZE]:O
DeleteFile('C:\PROGRA~1\ADVANC~1\aKiller.dll'); это имеет отношение к авасту
DeleteFile('C:\Windows\System32\bcmwlrmt.dll') это имеет отношение к делл вайрлесс
DelBHO('{A692062A-11A1-461B-BE98-B520F01F96FC}') имеет отношение к
C:\PROGRA~1\ADVANC~1\aKiller.dll


короче, троянов и кейлогеров вы там не нашели?
и зачем я должен удалять [U]все[/U] программы защиты?

вы можете написать скрипт который откатитит все назад - востановит удаленые файлы и из карантина вернет все на свои места? да/нет


п.с. попробовал с помощью авз вытащить файлы из карантина
dell wireless вроде востановилось, но все подключения стерлись, UAC никак не отключается.
[B] как вернуть все в состояние "до скрипта"?[/B]

п.п.с. uac никак не отключается ни через win+r. никак. зверски понижен в правах.
мой мозг kernel panic

Я скажу почему я их решил удалить: оба не имеют подписи, к авасту отношение вряд ли имеют, скорее уж к [url]http://www.greatis.com/appdata/d/a/akiller.dll.htm[/url]

Очень жаль, что компания делл не подписывает свои дрова.Виноват, поспешил.

Я так понял вы уже вернули работоспособность dell wireless.
*в любом случае в карантине вы найдёте файлы которые удалились.(нужно переименовать назад, в ini указано имя в оригинале)
Затем если в длл нет само -регистрации нужно в ручную зарегистрировать.Вот статья: [url]http://www.tech-faq.com/register-dll.shtml[/url]
Можно програмой( Прикрепил регистартор с графическим интерфейсом, если с комнадной строкой не хотите возиться.
Само собой выбрать нужный файл в левом окошке и нажать на register ) , a можно вот так [url]http://www.pronetworks.org/forum/about60884.html&sid=3cc3eaa1a4b258d1e615bbd6557ef308[/url]

*ответа из лаба пока нет, так что уверенно сказать не можем был ли вирус или просто глюки из-за программ защиты.

*насчёт удаления ваших продуктов защиты- просто судя по описанию вами странных глюков- они могут быть виной, особенно когда продукты защиты с пересекающимися возможностями. Даже если отключены, драйвера то могут мешать друг другу.

P.s. а что с uac то стряслось? , вот они ваши глюки :) совсем хотите отключить? тогда вот: [url]http://www.petri.co.il/disable_uac_in_windows_vista.htm[/url]

новый глюк: открываю окно дефолтных игр и система подвисает, пишет что винда не отвечает и как то быстро рестартит. работающие программы закрываются.

по поводу aKiller.dll смотрел пути показывало что от это от аваста. может через дыру в авасте и впарили.
скорее всего и был руткит, потомучто лампочка процессора помигивала подозрительно, легкие тормоза были и какой то не понятный трафик/ в любом случае ответ из лабы сообщите.

но почему в результате исполнения скрипта винду покорежило так сильно?

[quote]насчёт удаления ваших продуктов защиты- просто судя по описанию вами странных глюков- они могут быть виной, особенно когда продукты защиты с пересекающимися возможностями. Даже если отключены, драйвера то могут мешать друг другу.[/quote]работало нормально все до недавнего времени.

если линух через загрузчик винды загружается, то если переустановить винду с форматированием линух тоже переустанвливать придется?
никакой настройки в висте не предусмотрено?

по поводу UAC пробовал и нормальным образом отключать и через msconfig.
в msconfig вообще какие то настройки левые стали и не меняются.

прогой Handy Recovery востановил два бэкапа один 3,5 гига второй почему то 300 кб(плохо востановился?)
каким макаром его вставить в system volume information? тотал командер пишет что system volume information работает и открыть нельзя. в безопасном режиме с командной строкой пишет что тоже прав нету.
как вставить бэкап в system volume information?

Вероятно вам просто везло и тут везение кончилось.Возможно скрипты авз послужили катализатором. Собственно, какая проблема попробовать все программы защиты удалить, всё равно ведь винда глючит.
Насчёт "как вставить бэкап в system volume information? " это по моему не предусмотрено. system volume information- это дело пошло с winme и до сих пор не довели до ума,возвращает не всё и то что возвращает и то не всегда.Я бы посоветовал посмотреть в сторону альтернатив.
Если ли линукс стоит на другом логическом диске то ничего страшного не случиться, максимум что произойдёт затрётся загрузчик линукса, возвращается за несколько минут.если не в курсе, у нас раздел линукса есть, если сами не найдёте, подскажем.
Вот если на одном и том же, то "труба".

из лаборатории ответ пришел?

[QUOTE=e1t1;302680]из лаборатории ответ пришел?[/QUOTE]Получился у вас слишком большой архив ( наверно забыли про него), я взял только файлы C:\PROGRA~1\ADVANC~1\aKiller.dll
C:\Windows\System32\bcmwlrmt.dll
и послал. Сказали что чистые. Извините за неудобство.