WinXP SP2: не грузится в нормальном режиме

Здравствуйте!

У меня винда стала грузиться только в безопасном режиме. В нормальном доходит до момента, когда должен появиться рабочий стол, (иногда успевает появиться, иногда нет) и уходит на перезагрузку. Сделал логи стандарные + Дополнительные АВЗ-логи в безопасном режиме.
Явно сидит руткит, т.к. после формирования логов для вас, попробовал после перезагрузки еще раз запустить "Скрипт лечения/карантина и сбора информации..." и опять
[CODE]
Файл успешно помещен в карантин (C:\WINDOWS\system32\drivers\synsenddrv.sys)
C:\WINDOWS\system32\drivers\synsenddrv.sys >>>>> Rootkit.Win32.Small.bk успешно удален
[/CODE]

Заранее благодарен за помощь.

Плохо, что нельзя загрузиться в обычном режиме. Попробуем так.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
- Антивирус и Файрволл.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('synsend');
StopService('ryqwxzvid');
QuarantineFile('C:\WINDOWS\system32\twex.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\suagkmlcqcvx.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\suagkmlcqcvx.sys');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
DeleteFile('C:\WINDOWS\system32\twex.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc ('synsend');
BC_DeleteSvc ('ryqwxzvid');
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки [B](попытайтесь загрузится в обычном режиме)[/B]:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.

При выполнении скрипта было несколько красных строк, которые прочитать не успел. Потом комп перегрузился в нормальном режиме и вроде бы все заработало. Логи собрал, ошибок нет. Спасибо большое!

Не торопитесь, ещё не всё.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\DOWNLO~1\FEWatch4.ocx','');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи согласно пункта 2 [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
virusinfo_syscheck.zip
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.

Точно прочитать красные строки до перезагрузки не успел, но по-моему он не смог закарантинить sfc.sys.

Вопрос на будущее: когда просите выслать карантин, помечать все файлы или только те, которые фигурировали в последнем Вашем скрипте? Сейчас на всякий случай выслал все.

Только сейчас обратил внимание: модуль FEWatch4.ocx я сам загружал. В логах есть ссылка на [url]http://91.149.108.221:1180[/url] - это был мой видеорегистратор с измененным портом доступа. Упомянутый OCX - его ActiveX для отображения видео.

[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог с помощью GMER.[/URL]

Сделал. На сегодня я уехал, буду завтра с утра. Огромное спасибо за оказанную помощь!!!

Будет называться вот так: Rootkit.Win32.Agent.lsk

'C:\WINDOWS\System32\sfcfiles.dll' через карантин пришлите, если успели выполнить скрипт до моих добавок.

[QUOTE=PavelA;419133]Будет называться вот так: Rootkit.Win32.Agent.lsk

'C:\WINDOWS\System32\sfcfiles.dll' через карантин пришлите, если успели выполнить скрипт до моих добавок.[/QUOTE]

Добрый день.
Строки [CODE]
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
[/CODE]
похоже не выполнились, т.к. файла sfcfiles.bak нет и в карантине никаких sfc* тоже нет.

Не понял про какие добавки идет речь? Скрипт выполнял сразу после публикации его тут.

Выполните:
[CODE]
begin
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
RebootWindows(true);
end.
[/CODE]
'C:\WINDOWS\System32\sfcfiles.bak' - пришлите через добавление в карантин AVZ.

При помещении в карантин AVZ сказал:
[CODE]
[COLOR="Red"]
Ошибка карантина файла, попытка прямого чтения (sfcfiles.bak)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\sfcfiles.bak)
Карантин с использованием прямого чтения - ошибка
[/COLOR]
Файл успешно помещен в карантин (C:\WINDOWS\system32\sfcfiles.bak)
[/CODE]
Однако файл ненулевой длины в карантине появился. Отправил его Вам.

Теперь скрипт станд. №2 повторите и лог пришлите.
Trojan.WinSpy.145 - по Др.Вебу
Trojan.Win32.Patched.fr - по Касперскому.

Сделал.

Чисто в логе стало.

- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите все последние [URL="http://update.microsoft.com]обновления системы Windows[/URL] и используемых программ.

Спасибо вам огромное!!!

Вы можете отблагодарить хелперов, которые Вам помогли, добавив им отзыв, а также и весь проект VirusInfo вот [URL="http://virusinfo.info/showthread.php?t=3519"]тут.[/URL]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\suagkmlcqcvx.sys - [B]Rootkit.Win32.Agent.lsk[/B] ( BitDefender: Backdoor.Generic.184744 )[*] c:\windows\system32\sfcfiles.bak - [B]Trojan.Win32.Patched.fr[/B] ( DrWEB: Trojan.WinSpy.145 )[/LIST][/LIST]