Printable View
Симптомы: не открываются никакие приложения, пишет программа выполнила недопустимую ошибку и будет закрыта.AVZ не запускается - ни обычный ни полиморфный (даже в безопасном режиме), айсворд не запускается, смог запустить только gmer и хайджек. Cureit не запускается, расшарил диск с, просканировал его cureitом с другого компа, ничего не нашел. Прикладываю только лог gmer, он видит руткиты и лог хайджек, можно ли что то сделать?
Пофиксите с помощью Hijackthis строчки: [code]F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O4 - HKLM\..\Run: [Microsoft Internet Agent] c:\windows\system32\winagent.exe
O4 - HKLM\..\Policies\Explorer\Run: [csrcs] C:\WINDOWS\system32\csrcs.exe[/code]
С помощью утилиты Gmer отключите сервисы [b]ckjeb[/b] и [b]zmvzv[/b] (правая кнопка мыши на имя сервиса - выбрать пункт "disable the service"). После перезагрузки, попробуйте запустить AVZ, если запустится - сделайте логи по правилам.
не запускается (
В безопасном режиме пробовали проводить проверку? Логи Hijackthis и Gmer повторите, пожалуйста.
это как раз логи из безопасного режима, сделать из обычного? Айсворд кстати запустился в обычном режиме
Сделайте логи в обычном режиме, если получится.
Вот сделал
Пофиксите с помощью Hijackthis строчки:[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O4 - HKLM\..\Run: [Generic Host for Win32 Services] $‘|xЯ
O4 - Startup: ikowin32.exe[/code]
Вы писали, что Icesword запускается. Если так, то с помощью IceSword сначала [url=http://virusinfo.info/showthread.php?t=17109]скопируйте[/url], потом [url=http://virusinfo.info/showthread.php?t=17228]удалите[/url] файлы: [code]C:\WINDOWS\system32\sdra64.exe
C:\WINDOWS\system32\xdwhjhps.dll[/code] Копии файлов загрузите по ссылке для отправки карантина в архиве с паролем "virus" (без кавычек) После перезагрузки, попробуйте снова запустить AVZ
+ Numb
Скачайте последню версию GMER.
Код:
[CODE]gmer.exe -del service ckjeb
gmer.exe -del service zmvzv
gmer.exe -del file "C:\WINDOWS\system32\xdwhjhps.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ckjeb"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\zmvzv"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ckjeb"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\zmvzv"
gmer.exe -reboot[/CODE]
скопируйте в новый текстовый файл, сохраните его в той папке, где у Вас файл gmer.exe под именем 123.bat и запустите.
После перезагрузки:
-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]
-Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- повторите логи по правилам + gmer.
Хайджеком пофиксил, айсвордом нашел только sdra64.exe, удалил, но в карантин заархивировать не могу, т.к. при запуске винрара вылетает ошибка. Код в gmere выполнил, после перезагрузки AVZ не запускается та же ошибка, с полиморфным тоже
повторите лог gmer.
Вот он
С помощью IceSword [URL="http://virusinfo.info/showthread.php?t=17109"]скопируйте[/URL]
[CODE]C:\WINDOWS\System32\Drivers\sfc.SYS
C:\WINDOWS\System32\sfcfiles.dll[/CODE]Копии файлов загрузите по ссылке для отправки карантина в архиве с паролем "virus" (без кавычек)
C:\WINDOWS\System32\Drivers\sfc.SYS [URL="http://virusinfo.info/showthread.php?t=17228"]удалите[/URL] с помощью IceSword
C:\WINDOWS\System32\sfcfiles.dll замените по [URL="http://virusinfo.info/showthread.php?t=51654"]этой методике[/URL]
После этого пытайтесь сделать логи AVZ
C:\WINDOWS\System32\Drivers\sfc.SYS - такого файла в системе не нашел
C:\WINDOWS\System32\sfcfiles.dl - при попытке восстановить в консоли восстановления пишет - неудается создать файл 0 файлов распакованно:(
Отправил по ссылке вверху карантином скопированный из айсворда файл sfcfiles.dll
-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\xdwhjhps.dll','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\lowsec\local.ds','');
QuarantineFile('C:\WINDOWS\system32\lowsec\user.ds','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
Код:
[CODE]
gmer.exe -del service hzzrpu
gmer.exe -del service jpujkmjxy
gmer.exe -del file "C:\WINDOWS\system32\lowsec\local.ds"
gmer.exe -del file "C:\WINDOWS\system32\lowsec\user.ds"
gmer.exe -del file "C:\WINDOWS\System32\Drivers\sfc.SYS"
gmer.exe -del file "C:\WINDOWS\system32\xdwhjhps.dll"
gmer.exe -del file "C:\WINDOWS\system32\sdra64.exe"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\hzzrpu"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\jpujkmjxy"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\jpujkmjxy"
gmer.exe -reboot[/CODE]
скопируйте в новый текстовый файл, сохраните его в той папке, где у Вас файл gmer.exe под именем 25555.bat и запустите.
После перезагрузки повторите логи по правилам + gmer.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[QUOTE=SlyAss;451561]
C:\WINDOWS\System32\sfcfiles.dl - при попытке восстановить в консоли восстановления пишет - неудается создать файл 0 файлов распакованно[/QUOTE]Файл на дистрибутиве с расширением [SIZE="4"]dl_[/SIZE]. Вы его так писали?
[CODE]Файл на дистрибутиве с расширением dl_. Вы его так писали?[/CODE] да конечно, писал так.
Скрипт не могу сделать, т.к. не запускается AVZ ни простой ни полиморфный.
Делайте операцию с gmer и повторите его лог.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[QUOTE=SlyAss;451637] да конечно, писал так..[/QUOTE]Попробуйте [B]экспандировать[/B] его в другое место, а потом [B]скопировать[/B] куда надо.
сейчас не могу попробовать извлечь в другое место, т.к. физически комп находится на другом конце города , я через radmin хожу на него. прилагаю лог gmer
[QUOTE=SlyAss;451737]физически комп находится на другом конце города , я через radmin хожу на него.[/QUOTE]Так не пойдет: нужно работать локально :) Распакуйте файл у себя на компе, только в какую-нибудь несистемную папку, а потом скопируйте его на удаленный ПК - может получится?
Лог gmer чистый.
нет удаленно он не удаляется и не меняется(( размер тот же, может не в нем дело? может проверить его?
Кстати сейчас гмер открыл в нем опять какая то зараза видна, сейчас лог пришлю как сделается(
вот он