Не загружается в Safe Mode.

Printable View

09.09.2009, 14:11
real_sm

Не загружается в Safe Mode.

Приветствую.

Начал выполнять [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL], дошел до пункта:

[quote]2. Проверьте компьютер с помощью AVPTool или CureIt! [URL="http://virusinfo.info/showthread.php?t=9279"]в безопасном режиме[/URL]. К найденному следует применять действие "Лечить", а неизлечимые перемещать или удалять. После этого перезагрузитесь в обычный режим.[/quote]

При попытке загрузиться в Safe Mode компьютер самопроизвольно перезагружается.

Как дальше продолжать?
09.09.2009, 14:14
vegas

Попробуйте пролечиться в обычном режиме, потом сделайте логи и выложите их
09.09.2009, 15:12
real_sm

Вложений: 1

[quote]2. Проверьте компьютер с помощью AVPTool или CureIt! в безопасном режиме. К найденному следует применять действие "Лечить", а неизлечимые перемещать или удалять. После этого перезагрузитесь в обычный режим.[/quote]

В безопасном не получилось, попробовал в обычном.
AVPTool перестал работать и исчез из процессов сразу после загрузки.
CureIt! запустился, начал тестировать. Где-то на 20% самопроизвольно закрылся explorer, а на 30% компьютер самопроизвольно перезагрузился. Приаттачиваю лог и карантин. Пароль на архив "virus".

[quote]1. Запустите AVZ*. Откройте меню "Файл"=>"Стандартные скрипты" и отметьте пункт "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info". Нажмите "Выполнить отмеченные скрипты". Будет выполнено автоматическое сканирование,[/quote]

Сразу после запуска скрипта AVZ завис. Последняя строчка в логе начиналась на "1. Пои".

[quote]2. Подключитесь к сети Интернет, запустите AVZ*. Вновь откройте меню "Файл"=>"Стандартные скрипты" и отметьте теперь пункт "Скрипт сбора информации для раздела "Помогите!" virusinfo.info". Нажмите "Выполнить отмеченные скрипты". Будет выполнено автоматическое исследование системы[/quote]

Сразу после запуска скрипта AVZ завис. Последняя строчка в логе начиналась на "1. Пои".

[quote]3. Запустите HijackThis*. В появившемся окне с пользовательским соглашением нажмите на кнопку I Accept. Если программа не запускается или прекращает работу после запуска, скачайте переименованный файл программы HijackThis здесь и в дальнейшем используйте его. Нажмите на кнопку "Do a system scan and save a logfile".[/quote]

В процессе поиска (~15-20 строчек) HijackThis завис.
09.09.2009, 15:30
vegas

Скачайте отсюда полиморфный АВЗ и сделайте логи
[url]http://narod.ru/disk/12203190000/avz.exe.html[/url]
HijackThis переименовывали?
09.09.2009, 16:12
real_sm

Вложений: 2

[QUOTE=vegas;464809]Скачайте отсюда полиморфный АВЗ и сделайте логи
[URL]http://narod.ru/disk/12203190000/avz.exe.html[/URL][/QUOTE]

Скачал, сделал. Приаттачиваю.

[QUOTE=vegas;464809]HijackThis переименовывали?[/QUOTE]

В прошлый раз не переименовывал. В этот раз переименовал, все равно завис.
Стал самопроизвольно открываться и загружать какую-то страницу на китайском языке Internet Explorer.
09.09.2009, 16:35
vegas

Выполните скрипт
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\pagefile.pif','');
QuarantineFile('C:\Documents and Settings\NetworkService\Local Settings\Application Data\smss.exe','');
QuarantineFile('C:\NetApi000.sys','');
QuarantineFile('C:\WINDOWS\system32\dnsq.dll','');
QuarantineFile('C:\WINDOWS\system32\com\netcfg.dll','');
QuarantineFile('c:\windows\system32\com\smss.exe','');
QuarantineFile('c:\windows\system32\com\lsass.exe','');
DeleteFile('c:\windows\system32\com\lsass.exe');
DeleteFile('c:\windows\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\com\netcfg.dll');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run-','Tok-Cirrhatus-1860');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run-','Tok-Cirrhatus-1860');
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DelBHO('{710EB7A1-45ED-11D0-924A-0020AFC7AC4D}');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
BC_Activate;
RebootWindows(true);
end.[/code]
Закачайте карантин по ссылке вверху страницы. Попробуйте запустить обычный АВЗ и HijackThis . Сделайте новые логи
09.09.2009, 16:46
real_sm

Скрипт выполнил.

Карантин закачал:
[quote]Файл сохранён как 090909_164412_virus_4aa7a31c7b0de.zip
Размер файла 252612
MD5 dc0de5b930cba0fbdf9a2f386754f4c7[/quote]

Обычный AVZ зависает, HijackThis зависает.

Сейчас сделаю новые логи полиморфным AVZ.
09.09.2009, 17:06
real_sm

Вложений: 3

Вот.
10.09.2009, 02:35
real_sm

Вложений: 4

Учитывая срочность лечения, погуглил и выполнил в порядке нумерации скрипты, приаттаченные в файле AVZscripts.zip. После перезагрузки установился антивирус и собрались логи с обычного AVZ и HijackThis. Пофиксил в HijackThis:

[quote]O20 - AppInit_DLLs: C:\WINDOWS\system32\dnsq.dll[/quote]

Пока что компьютер нормально работает.

Если не трудно, покажите, пожалуйста, что именно в скриптах починило компьютер, и что могло остаться.
10.09.2009, 03:34
vegas

Скрипты для каждого конкретного случая пишутся ИНДИВИДУАЛЬНО, использование чужих скриптов может привести к самым печальным последствиям для вашей ОС.
Лечение еще не закончено, у вас действующий файловый инфектор. Возвращаемся к началу раздела Помогите - делаем полное сканирование в безопасном режиме CureIt или AVPTool, а затем в обычном режиме делаем логи
11.09.2009, 03:34
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\pagefile.pif - [B]Virus.Win32.Xorer.fa[/B] ( DrWEB: Win32.HLLP.Rox.16, BitDefender: Worm.Generic.17131, AVAST4: Win32:Xorer-N )[*] c:\windows\system32\com\lsass.exe - [B]Virus.Win32.Xorer.fa[/B] ( DrWEB: Win32.HLLP.Rox.16, BitDefender: Worm.Generic.17131, AVAST4: Win32:Xorer-N )[*] c:\windows\system32\com\netcfg.dll - [B]Virus.Win32.Xorer.ee[/B] ( DrWEB: Win32.HLLP.Rox, BitDefender: Win32.Xorer.DZ, NOD32: Win32/Xorer.NAD virus, AVAST4: Win32:Pinx [Trj] )[*] c:\windows\system32\com\smss.exe - [B]Virus.Win32.Xorer.dt[/B] ( DrWEB: Win32.HLLP.Rox, BitDefender: Win32.Xorer.DU, NOD32: Win32/Xorer.DR virus, AVAST4: Win32:Xorer-I )[*] c:\windows\system32\dnsq.dll - [B]Trojan-PSW.Win32.Agent.acp[/B] ( DrWEB: Win32.HLLP.Rox.16, BitDefender: Trojan.Generic.1735818, NOD32: Win32/Xorer.EY virus, AVAST4: Win32:Xorer-H )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]