сбой при инициализации процесса explorer.exe 0x00000142

Printable View

04.10.2009, 17:04
zlichu

сбой при инициализации процесса explorer.exe 0x00000142

Здравствуйте.

В системе полно вирусов, проводилось сканирование и лечение с помощью drweb. Часть вирусов он нашел и удалил. После перезагрузки не запускает explorer.exe. Через диспетчер задач его также запустить не получается, просто показывает фон рабочего стола. Другие проги через диспетчер запускаются, но сильно тормозят. Сканирование через Drweb liveCD ни чего не показало.
Примерно каждые 10 секунд, идет обращение к флопи-диску. Дискеты в приводе нет.

Заранее огромное спасибо.
04.10.2009, 17:13
Bratez

1. [B]Скачайте актуальную версию AVZ - 4.32 и обновите ее базы![/B]

2. Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
QuarantineFile('C:\WINDOWS\temp\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\aliserv3.sys','');
QuarantineFile('C:\WINDOWS\system32\wbem\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\tajf83ikdmf.dll','');
QuarantineFile('C:\WINDOWS\system32\sysmgr.exe','');
QuarantineFile('C:\WINDOWS\system32\msvcrt57.dll','');
QuarantineFile('C:\WINDOWS\system32\msmgr.exe','');
QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\setup.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\synsenddrv.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\synsenddrv.sys');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\setup.exe');
DeleteFile('C:\WINDOWS\system32\csrcs.exe');
DeleteFile('C:\WINDOWS\system32\msmgr.exe');
DeleteFile('C:\WINDOWS\system32\msvcrt57.dll');
DeleteFile('C:\WINDOWS\system32\sysmgr.exe');
DeleteFile('C:\WINDOWS\system32\tajf83ikdmf.dll');
DeleteFile('C:\WINDOWS\system32\wbem\svchost.exe');
DeleteFile('C:\WINDOWS\system32\drivers\aliserv3.sys');
DeleteFile('C:\WINDOWS\temp\winlogon.exe');
DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
DelCLSID('{E6FB5E20-DE35-11CF-9C87-00AA005127ED}');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('wvesojgla');
BC_DeleteSvc('sroakaiuwxnq');
BC_DeleteSvc('rrcauze');
BC_DeleteSvc('ljjrf');
BC_DeleteSvc('synsend');
BC_Activate;
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
ExecuteRepair(13);
ExecuteRepair(16);
ExecuteRepair(17);
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

3. Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=56340[/url]).

4. Сделайте новые логи.
04.10.2009, 17:59
zlichu

ВЫполнил скрипт на обновленной версии AVZ. Карантин отправил по ссылке. Сделал новые логи. После выполнения скрипта система загрузилась, работает быстро, без тормозов. Огромное спасибо. Нужно ли делать еще что0то?
04.10.2009, 18:42
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\jopn8pctw.exe','');
QuarantineFile('C:\WINDOWS\Temp\B7.tmp','');
QuarantineFile('C:\WINDOWS\Temp\AE.tmp','');
DeleteFile('C:\WINDOWS\Temp\AE.tmp');
DeleteFile('C:\WINDOWS\Temp\B7.tmp');
DeleteFile('C:\WINDOWS\Temp\jopn8pctw.exe');
DeleteFileMask('%Tmp%', '*.*', true);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
SetAVZPMStatus(True);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
05.10.2009, 06:38
zlichu

Скрипт выполнил. Вот логи.
05.10.2009, 10:16
light59

Сделайте [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL]
06.10.2009, 01:28
zlichu

Вот лог gmer.
06.10.2009, 03:26
gjf

- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрвол.[/B]
- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]O3 - Toolbar: &Page Promoter Bar - {BA5D8DF9-1851-4660-B3AE-89E6E030AC34} - C:\WINDOWS\pagepromoterbar.dll (file missing)[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
StopService('hjgruibmqxtavn');
StopService('ovfsthgrnmflgldepxueimkpfjppsbeqlagnet');
QuarantineFile('c:\windows\system32\drivers\ovfsthxduqpaabmooiqdjulkiqqpyqtybfaayh.sys','');
QuarantineFile('c:\windows\system32\drivers\hjgruivtnnossi.sys','');
QuarantineFile('c:\windows\system32\hjgruivibtpuxs.dll','');
QuarantineFile('c:\windows\system32\hjgruihpfjlvph.dat','');
QuarantineFile('c:\windows\system32\hjgruilivkdwfd.dll','');
QuarantineFile('c:\windows\system32\hjgruiidntlirf.dat','');
QuarantineFile('c:\windows\system32\ovfsthccbvscvnvtmttapmyksfinbxvmonvxew.dll','');
QuarantineFile('c:\windows\system32\ovfsthceghuymhbbtpuelpgdwqvrmrsctfmbnp.dat','');
QuarantineFile('c:\windows\system32\ovfsthowrdjpwicnjehgbobyplncjckpqqdnfh.dll','');
QuarantineFile('c:\windows\system32\ovfsthxqolwtasavjuswqtpbhqrsmswdxoftho.dll','');
QuarantineFile('c:\windows\system32\ovfsthuadexfmmrerssfwqbwnylrprbsivprmn.dat','');
DeleteFile('c:\windows\system32\drivers\ovfsthxduqpaabmooiqdjulkiqqpyqtybfaayh.sys');
DeleteFile('c:\windows\system32\drivers\hjgruivtnnossi.sys');
DeleteFile('c:\windows\system32\hjgruivibtpuxs.dll');
DeleteFile('c:\windows\system32\hjgruihpfjlvph.dat');
DeleteFile('c:\windows\system32\hjgruilivkdwfd.dll');
DeleteFile('c:\windows\system32\hjgruiidntlirf.dat');
DeleteFile('c:\windows\system32\ovfsthccbvscvnvtmttapmyksfinbxvmonvxew.dll');
DeleteFile('c:\windows\system32\ovfsthceghuymhbbtpuelpgdwqvrmrsctfmbnp.dat');
DeleteFile('c:\windows\system32\ovfsthowrdjpwicnjehgbobyplncjckpqqdnfh.dll');
DeleteFile('c:\windows\system32\ovfsthxqolwtasavjuswqtpbhqrsmswdxoftho.dll');
DeleteFile('c:\windows\system32\ovfsthuadexfmmrerssfwqbwnylrprbsivprmn.dat');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('hjgruibmqxtavn');
BC_DeleteSvc('ovfsthgrnmflgldepxueimkpfjppsbeqlagnet');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
- Сделайте повторный лог GMER
[I]gmer.log[/I]
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.
06.10.2009, 11:32
zlichu

Лог gmer и карантин. карантин загрузил по ссылке.
06.10.2009, 11:54
gjf

Выполните скрипт AVZ:
[CODE]begin
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\hjgruibmqxtavn');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\ovfsthgrnmflgldepxueimkpfjppsbeqlagnet');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\hjgruibmqxtavn');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\ovfsthgrnmflgldepxueimkpfjppsbeqlagnet');
end.[/CODE]

Что с проблемами?
06.10.2009, 16:14
zlichu

Выполнил скрипт.
Проблемы пропали. Комп отлично работает, без тормозов. :DНе стартует только 1С, но скорее проблемы с базой.
Все огромное спасибо, за Вашу помощь. Думаю тему можно закрыть.
06.10.2009, 16:19
gjf

Миссия выполнена [img]http://fc01.deviantart.com/fs12/i/2006/274/c/4/_cowboy__by_sereneworx.gif[/img]
Вы можете отблагодарить хелперов, которые Вам помогли, нажав им на кнопку "Спасибо", а также и весь проект VirusInfo вот [URL="http://virusinfo.info/showthread.php?t=3519"]тут.[/URL]
Рекомендуется изменить все используемые пароли, поскольку теоретически зловред мог их отправить злоумышленникам. Также, рекомендуется провести полную проверку системы антивирусом.
[B]В обязательном порядке установите Сервис Пак 3[/B] - возможно потребуется активация. Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
Установите все последние [URL="http://update.microsoft.com"]обновления системы Windows[/URL] и используемых программ. И вообще, постарайтесь выполнить все советы, [URL="http://virusinfo.info/showthread.php?t=30339"]указанные здесь[/URL] - это максимально отдалит время нашей следующей с Вами встречи :)
07.10.2009, 16:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]66[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\docume~1\9335~1\locals~1\temp\setup.exe - [B]Trojan-Downloader.Win32.Suurch.avh[/B] ( DrWEB: Trojan.Collector.130, BitDefender: Gen:Packed.bmX@aKymP2b, AVAST4: Win32:MalOb-R [Cryp] )[*] c:\program files\microsoft common\svchost.exe - [B]Packed.Win32.Krap.x[/B] ( DrWEB: Win32.HLLW.Autoruner.6326, BitDefender: Application.Generic.233489, AVAST4: Win32:Preald-AR [Drp] )[*] c:\windows\system32\csrcs.exe - [B]Packed.Win32.Klone.bj[/B] ( DrWEB: Win32.HLLW.Autohit.10281 )[*] c:\windows\system32\msmgr.exe - [B]Backdoor.Win32.Knokk.ab[/B] ( DrWEB: BackDoor.Siggen.954 )[*] c:\windows\system32\msvcrt57.dll - [B]Packed.Win32.Krap.x[/B] ( DrWEB: Trojan.DownLoad.5244, BitDefender: Trojan.Dropper.Preald.B )[*] c:\windows\system32\tajf83ikdmf.dll - [B]Trojan-Downloader.Win32.Agent.crbq[/B] ( DrWEB: Trojan.DownLoad.49351, BitDefender: Trojan.Generic.2501287, AVAST4: Win32:Ertfor [Trj] )[*] c:\windows\system32\wbem\svchost.exe - [B]Trojan.Win32.Inject.ajnh[/B] ( DrWEB: Trojan.Annoy.23, AVAST4: Win32:Trojan-gen )[*] c:\windows\temp\ae.tmp - [B]Backdoor.Win32.Bredavi.hy[/B] ( DrWEB: Trojan.DownLoad.47416, BitDefender: Trojan.Generic.2497867, AVAST4: Win32:Oficla-C [Trj] )[*] c:\windows\temp\b7.tmp - [B]Backdoor.Win32.Bredavi.hy[/B] ( DrWEB: Trojan.DownLoad.47416, BitDefender: Trojan.Generic.2497867, AVAST4: Win32:Oficla-C [Trj] )[*] c:\windows\temp\jopn8pctw.exe - [B]Trojan-Downloader.Win32.Agent.crbt[/B] ( DrWEB: Trojan.DownLoad.46042, BitDefender: Gen:Trojan.Heur.PT.amX@b43Yqwc, AVAST4: Win32:MalOb-R [Cryp] )[*] c:\windows\temp\winlogon.exe - [B]Trojan-Downloader.Win32.Suurch.avh[/B] ( DrWEB: Trojan.Collector.130, BitDefender: Gen:Packed.bmX@aKymP2b, AVAST4: Win32:MalOb-R [Cryp] )[/LIST][/LIST]