Если коротко - пропал рабочий стол.

Работал в Интернете, вдруг выругался Firewall Outpost, компьютер перегрузился до момента появления Рабочего стола и появилась какая-то ошибка связанная с svchost.exe. И усё. Я перегрузил комп, он загрузился до меню выбора пользователей, после успешного выбора одного из пользователей комп попытался загрузится. Загрузился до момента появления Рабочего стола и встал. Нет ни рабочего стола, ни кнопочки Пуск. Пуск на нажатие клавиш Ctrl+Esc не отвечает. В Безопасный режим и того круче, как только доходит до момента появления Рабочего стола, загрузка останавливается, а вернее процессор загружается на все 100% и пытается выполнить что-то.
Удаётся только загрузится в Безопасном режиме с поддержкой коммандной строки, без Рабочего стола.
Сейчас запустил из под коммандной строки Curiet (от DrWeb-а).
Помогите пожалуйста, у меня уже нервы сдают. На компе столько информации по работе, что месяц восстанавливать всё придётся.
ОС Windows XP SP2

[size="1"][color="#666686"][B][I]Добавлено через 35 минут[/I][/B][/color][/size]

Ответьте пожалуйста кто-нибудь!

Чем реально мы можем Вам помочь, не видя логов и не зная ничего о Вашем ПК?

Вот в этом и вопрос! А как логи сделать если ничего не могу запустить. Сейчас вечерок помучаюсь, если получится запустить AVZ вышлю логи. Если нет, наверное поможет только переустановка винды. Очень не хотелось бы это делать...

Информацию можно спасти, прицепив HDD к другому компьютеру. Кстати с него можно запустить проверку Антивирусом Касперского (т.к. Dr. Web не помог).

Вопрос. А можно подключится к заражённому компьютеру через внешний интерфейс eSATA с другого компьютера и также проверить винт Касперским? Если можно, то как это сделать, просто соединить компы кабелем?

Интерфейс eSATA предназначен только для подключения дополнительных дисков. Компьютеры им соединить не возможно.

[QUOTE=Maxim;301693]Информацию можно спасти, прицепив HDD к другому компьютеру. [/QUOTE]Имея DVD-Burner или еще лучше-USB-Harddisk можно сохранить важные данные, используя LiveCD (Bart PE или Knoppix).

Спасибо AndreyKa.
Сдесь в новой ветке на однотипную тему говорили про LiveCD c линуксом. Наверно хорошая вещь, но вот весит много, а у меня не анлим. Давно хотел LiveCD заиметь, увы.
Кстати, у меня заражённый компьютер тоже у сестры.
О своём.
После ночных бдений за зараженным компом вот каких результатов удалось добится. После загрузки в Безопасном режиме, именно с поддержкой командной строки, проверил винт CureIt-ом от DrWeb (правда 2-х месячной давности) - результат нашёл пару троянов, удалил, перезагрузился. Не помогло!
Загрузился нормально, после приветствия вышел на картинку без Рабочего стола и Пуска, запустил Диспетчер Задач (единственно что работает после загрузки), из под него (ДЗ->Новая задача) удалось запустить Total Commander. В Командире пытался запустить Explorer.exe - не помогло, запустил Каспера - он спрятался в трей, откуда его не достать, пытался запустить AVZ - мгновенно вылетает веер непрекращающихся сообщений об ошибках (помогает отключение AVZ в Диспетчере). Запустил из Диспетчера Regedit, открыл реестр и нашёл по адресу[HKEY_Local_Machine\Software\Microsoft\WindowsNT\Current Version\Image File Execution Options\Explorer.exe]
такой интересный ключик
Debugger ---------C:\Program Files\Microsoft Common\svchost.exe
Удалил этот ключ, перегрузился, и О чудо, повился и Рабочий стол и Пуск. Но уже Windows начала ругаться, что у Вас мол вирус. (А то я сам не догадался!)
Запустил Каспера, проверил винт - он ничего не нашёл. AVZ также продолжает не запускаться.
По адресу в ключе, нашёл файл svchost.exe, у него время создания именно когда вчера всё началось.
А теперь вопрос. На мой взгляд svchost.exe там не должен находится, мне ЕГО можно удалить?

pingpong.pif - переименованный спец. AVZ [url]http://rapidshare.com/files/116949749/pingpong.pif.html[/url]
Сделайте логи в нем (хотя бы лог syscheck). Обновлять базы в нем не нужно (т.к. невозможно).

[QUOTE=Adrian;301791]А теперь вопрос. На мой взгляд svchost.exe там не должен находится, мне ЕГО можно удалить?[/QUOTE]Заархивируйте этот файл в zip архив с паролем virus и загрузите по этой ссылке [url]http://virusinfo.info/upload_virus.php?tid=32714[/url]

Файл по ссылке закачал.
Ещё в Процессах, в Диспетчере задач сидит файлик
brastk.exe
расположен по адресам
C:\Windows\
C:\Windows\system32\
Появился примерно в тоже время когда и предыдущий (короче, когда комп загнулся). Может его загрузить сюда?

Не помешает, по тем же правилам. Но лучше конечно сделать логи и не заниматься гаданием.

Ваш svchost.exe называется [B]Worm.Win32.AutoRun.rhd[/B] (по Касперскому) и будет детектироваться в следующем обновлении баз.

[quote]Но уже Windows начала ругаться, что у Вас мол вирус.[/quote]
Он вам паспорт показал с фотографией Била Гейтса? :)
Нет в Windows средств детектирования вредоносных программ. Это вас сам троян brastk.exe на ложный путь направляет.

Мои большие извинения за длительное отсутствие. Сейчас выхожу в Инет с очень древнего компа, поэтому проблемы со связью.
Спасибо за ответы Maxim и AndreyKa.
Я не большой специалист в Windows XP (у неё вроде там брэндмауэр какой-то есть, но у меня он отключен).
Паспорт не показывал, но в трее висит красный кружок с белым крестом. При наведении указателя выводится сообщение:
Your computer is infected!
Windows has detected spyware infection!
It is recomended to use special antispyware tools to pervent
data loss. Windows will now download and install the most up-to-date antispyware for you.
Click here to protect your computer from spyware!

Файл brastk.exe загрузил по ссылке.
pingpong.pif скачал, сейчас буду делать логи.
Вопрос.
Удалить вручную без вреда это brastk.exe и C:\Program Files\Microsoft Common\svchost.exe можно?

Логи сделайте мы сами удалим...

Присланные файлы антивирус Касперского будет детектировать так:
svchost.exe - Worm.Win32.AutoRun.rhd
brastk.exe - FraudTool.Win32.XPSecurityCenter.bn

Выслал логи.
AVZ при нормальной загрузке всё также выдаёт неисчислимое количество ошибок. pingpong.pif - почему-то не запускается.
Удалось всё таки запустить AVZ в Безопасном режиме.

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
QuarantineFile('karna.dat','');
QuarantineFile('C:\WINDOWS\System32\rs32net.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ati1qyxx.sys','');
QuarantineFile('C:\DOCUME~1\Maxcomp\LOCALS~1\Temp\loader.exe','');
DeleteService('ati1qyxx');
BC_DeleteSvc('ati1qyxx');
DeleteFile('C:\DOCUME~1\Maxcomp\LOCALS~1\Temp\loader.exe');
DeleteFile('C:\Documents and Settings\Maxcomp\Главное меню\Программы\Автозагрузка\Adobe Reader Speed Launch.lnk');
DeleteFile('C:\WINDOWS\system32\Drivers\ati1qyxx.sys');
DeleteFile('C:\WINDOWS\System32\rs32net.exe');
DeleteFile('C:\WINDOWS\system32\brastk.exe');
DeleteFile('karna.dat');
SysCleanAddFile('brastk.exe');
SetAVZPMStatus(True);
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
[b]Загрузите его в нормальном режиме![/b]
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] верху этой темы.

Попробуйте сделать новые логи по Правилам и приложите к этой теме.

Файлы карантина после выполнения скрипта выслал.
AVZ при нормальной загрузке ОС всё равно,после выполнения скрипта, не хочет запускаться.
Сначала выскакивает ошибка: Не возможно открыть файл \Base\extract.avz. Недостаточно квот для обработки команды.
А потом идут нескончаемым потоком ошибки по какому-то адресу в памяти в модуле "avz.exe".
Что делать с файлом C:\Program Files\Microsoft Common\svchost.exe ? Вроде сдесь писали, что в нём вирус.
И на Рабочем столе валяется какой-то файл C:\Documents and Settings\Maxcomp\Рабочий стол\delself.bat ,
прописанный датой и временем заражения компьютера.

Так что мне делать? Я так понимаю компьютер до конца не вылечен. И AVZ всё таки хочется запустить не только под Безопасным режимом.

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:

[CODE]C:\WINDOWS\system32\Drivers\ati1qyxx.sys [/CODE]

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

AVZ взять отсюда [url]http://depositfiles.com/en/files/6501498[/url] и выполнить скрипт в обычном режиме:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Beep');
DeleteService('ati1qyxx');
DeleteFile('C:\WINDOWS\system32\Drivers\ati1qyxx.sys');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe ');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Beep');
BC_DeleteSvc('ati1qyxx');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...