RUNDLL Ошибка при загрузке. AVZ AVPTool не запускаются даже в безоп режиме

Printable View

13.12.2009, 15:01
Egorik

RUNDLL Ошибка при загрузке. AVZ AVPTool не запускаются даже в безоп режиме

Операционная система ХР SP3
Периодически выскакивает окно, похожее на системное с красным крестом и заголовком RUNDLL

При попытке в адресной строке браузера открыть ссылку на антивирусное ПО - окно браузера закрывается
При попытке открыть папку с антивирусным ПО - папка сразу закрывается, после этого другие папки и файлы перестают закрываться - выдается тоже самое сообщение с красным крестом и заголовком RUNDLL. После этого приходится перезагружать.

Пробовал переименовать AVZ. AVZ в этом случае запускается, но система сразу завершает работу.

В безопасном режиме - все то же самое.
При запуске AVZ и CureIT начинает выдавать ту же ошибку
Удалось только запустить HiJackThis, переименовав его в тест.com
Просьба помочь.
13.12.2009, 15:05
snifer67

Пофиксить в HijackThis
[code]
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O1 - Hosts: 210.51.166.253 www.vkontakte.ru
O1 - Hosts: 210.51.166.253 vkontakte.ru
O4 - HKLM\..\Run: [Internet Connection Wizard Setup Tool] C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe
O4 - HKLM\..\Run: [sysgif32] C:\WINDOWS\Temp\wpv841253309382.exe
O4 - HKLM\..\Run: [services] C:\WINDOWS\services.exe
O4 - HKCU\..\Policies\Explorer\Run: [Java Plug-in] C:\WINDOWS\system32\chknt32.exe
O4 - Startup: ikowin32.exe
O4 - Global Startup: icwsetup.exe
O20 - AppInit_DLLs: C:\WINDOWS\system32\y.dll
[/code]
ПК перезагрузите.

Сделайте логи avz.
27.12.2009, 01:14
Egorik

Добрый вечер.

Пофиксил. Перезагрузил.
Удалось 1 раз запустить AVZ.

Сделал лог AVZ
Потом лог HiJackThis
Второй раз AVZ не запускается - как только открываю папку где он лежит - комп уходит в перезагрузку.
Пробовал сканировать DrWEB Live CD, McAfee Stinger.
При запуске McAfee Stinger выскочило окно, в котором предлагалось ввести ключ к программе iMAX Download Manager, получив его по смс с короткого номера. Перевел системное время на январь 2009, перезагрузил - окно больше не выскакивало.
удалил несколько вирусов, но эта ошибка так и остается.
в безопасном режиме все тоже самое.

Есть ли какой-нибудь способ запустить AVZ, что бы вирус не перезагружал компъютер?
27.12.2009, 11:03
thyrex

Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\sdra64.exe,[/CODE]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\dntmm.dll','');
DeleteFile('C:\WINDOWS\system32\dntmm.dll');
QuarantineFile('C:\WINDOWS\system32\A.dll','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\chknt32.exe','');
QuarantineFile('C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe','');
QuarantineFile('C:\WINDOWS\system32\wkqv.dll','');
QuarantineFile('C:\WINDOWS\system32\pcu.dll','');
QuarantineFile('C:\WINDOWS\system32\kij.dll','');
QuarantineFile('C:\WINDOWS\system32\cddcwun.dll','');
QuarantineFile('C:\WINDOWS\system32\C.dll','');
QuarantineFile('C:\WINDOWS\system32\ainlpj.dll','');
DeleteFile('C:\WINDOWS\system32\ainlpj.dll');
DeleteFile('C:\WINDOWS\system32\C.dll');
DeleteFile('C:\WINDOWS\system32\cddcwun.dll');
DeleteFile('C:\WINDOWS\system32\kij.dll');
DeleteFile('C:\WINDOWS\system32\pcu.dll');
DeleteFile('C:\WINDOWS\system32\wkqv.dll');
DeleteFile('C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Internet Connec-tion Wizard Setup Tool');
DeleteFile('C:\WINDOWS\system32\chknt32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
DeleteFile('C:\WINDOWS\system32\A.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B]Обновите базы AVZ[/B]
Сделайте новые логи
28.12.2009, 23:00
Egorik

Добрый вечер.
В связи с тем, что антивирусные утилиты не запускались, на чистом компе скачал ISO образ Касперский Rescue Disc, создал диск, просканировал зараженный комп.
Удалиллось порядка 9 000 тел вируса, в основном *.dll в основном в пакпе windows32
Затем удалось выполнить все инструкции по правилам
логи прилагаю. Карантин выслал
Просьба посмотреть, осталась ли зараза.
29.12.2009, 01:14
thyrex

Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=userinit.exe
O20 - AppInit_DLLs: C:\WINDOWS\system32\dntmm.dll[/CODE]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\dntmm.dll','');
DeleteFile('C:\WINDOWS\system32\dntmm.dll');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\chknt32.exe','');
DeleteFile('C:\WINDOWS\system32\chknt32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(11);
ExecuteREpair(17);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[QUOTE] >> Заблокированы настройки системы System Restore[/QUOTE]Исправьте через [B]AVZ - Файл - Мастер поиска и устранения проблем - Все проблемы -[/B] отметить указанное - [B]Исправить[/B]

Сделайте новые логи
30.12.2009, 01:55
Egorik

Все в точности выполнил
логи прилагаю
30.12.2009, 09:15
snifer67

Выполните [url]http://virusinfo.info/showthread.php?t=43700[/url]

С логами все нормально.
01.01.2010, 14:09
Egorik

новая разновидность - eKAV antivirus

Было все нормально, но как только системное время перевел на правильное (до этого был установлен январь 2009) опять все те же смиптомы - бликируется запуск утилит, при попытке запустить компуходит в перезагрузку.
при запуске IE выскочило окно
[COLOR=red]eKAV antivirus[/COLOR], которое делает вид что сканирует систему, затем выдает якобы найденные вирусы, после чего выскакивает другое окно, которое просит отправить sms на номер [COLOR=red]4460[/COLOR] с текстом К704113200
Касперский rescue disk от 26.12.2009 не нашел ничего -(
позвонил в службу поддержки а1.агрегатор (собственник короткого номера) - дали код разблокировки). Разблокировал кодом.
опять завелась sdra64.exe - хайджек ее уже не фиксит.
сделал логи по правилам
просьба помочь навсегда убить эту заразу
01.01.2010, 14:15
snifer67

Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Help\nwdoc.chm:WVTD1D:$DATA','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
01.01.2010, 21:01
Egorik

Карантин выслал.
логи обновил
почему sdra64 нету в карантине?
01.01.2010, 21:29
thyrex

C:\WINDOWS\Help\nwdoc.chm:WVTD1D:$DATA - новый зловред [B]Trojan-Downloader.Win32.Piker.bae[/B]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Егор\Local Settings\Temp\n.dll','');
DeleteFile('C:\Documents and Settings\Егор\Local Settings\Temp\n.dll');
QuarantineFile('C:\Documents and Settings\Егор\Local Settings\Temp\ztaq.dll','');
DeleteFile('C:\Documents and Settings\Егор\Local Settings\Temp\ztaq.dll');
DeleteFile('C:\WINDOWS\Help\nwdoc.chm:WVTD1D:$DATA');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
01.01.2010, 23:42
Egorik

Карантин выслал
логи прилагаю.
01.01.2010, 23:55
thyrex

Плохого не видно. Что с проблемой?
02.01.2010, 01:14
Egorik

Ну вроде все в порядке, ничего такого не заметно пока.
беспокоит только что комп довольно часто в винчестере копается без видимых причин - на работе вин2000 стоит - такого нет
что делать с файлами в карантине?
там сидят
ztag.dll
n.dll
C:\WINDOWS\Help\nwdoc.chm:WVTD1D:$DATA
02.01.2010, 12:06
snifer67

Файлы с карантина можете удалить.
03.01.2010, 12:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\help\nwdoc.chm:wvtd1d:$data - [B]Trojan-Downloader.Win32.Piker.bae[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]