Хорошо окопавшаяся зараза

Сразу прошу прощения, что не по форме обращаюсь. Для этого есть причины.
На компе явно сидит какая-то зараза. При заходе эксплорером в папку \avz - комп выключается. Если переименовать папку, заходит нормально.
Но все равно ни в обычной моде, ни в безопасной не удается запустить ни avz, ни тулзу от Кашперского, ни от доктора Weba - выдаются сообщения об ошибке загрузки dll-к из папки \Windows\Temp, обращениях к адресу памяти 0x000000010 - и на этом все заканчивается.

Вообще сообщения об обращении не к тем адресам памяти выдаются и без попыток запуска антивирусов.

Видимо, аналогичными средствами блокирован установленный на комп Symantec Endpoint Protection.

DrWeb Live CD тоже не пошел, но тут, возможно, что-то неправильно в нем самом, разбираюсь.

Дополнительная информация: 9-го числа SEP сигнализировал об обнаружении (и удалении) на этом компе Packed.Generic.272 в файле C:/WINDOWS/Temp/1.tmp, по эвристике.

Просмотром 0 трака на винчестере обнаружена запись MBR внешне похожая на настоящую и еще один сектор с невразумительной информацией в конце трака.

Конечно, можно попробовать перезалить систему с нуля. Но очень уж интересно, что за зараза.

[url]http://virusinfo.info/pravila.html[/url]

Глубокоуважаемый хелпер!

Ну я же пишу, что не могу выполнить правила. Хотя очень стараюсь.
Еще раз: ни avz, ни AVPTool, ни CureIt не запускаются! И в безопасной моде - тоже!

Может быть, меня следовало отправить в другой раздел. Может быть - вообще послать нафик и забыть. Но зачем мне указывать на правила?


Я НЕ МОГУ ВЫПОЛНИТЬ ИХ ТРЕБОВАНИЙ!!!

:furious3:

Полиморфный АВЗ пробовали? МВАМ еще попробуйте (см. в моей подписи), Hijackthis лог попробуйте сделать. Результат отпишите

Спасибо, в понедельник займусь. Сейчас оставил на тесте памяти. Хотя вряд ли это глюки железа.

Так, докладываю:
- специальный AVZ не идет (ошибка при загрузке dll, неверная попытка доступа к адресу памяти)
- hijackthis переименованный пошел. Но на этапе создания лога (блокнот как раз спросил, создавать ли файл) система ушла на перезагрузку. Как переименовать лог, я не нашел.
- mbam-setup не идет (попытка записи в адрес 000000010).

Да, система - Windows XP Pro, SP3

Прошу и жду дальнейшей помощи. Пока проверю MBR, постараюсь запустить DrWeb LiveCD, ну, может, еще какие идеи будут (((
-

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Да, и GMER тоже не идет.

[size="1"][color="#666686"][B][I]Добавлено через 6 часов 16 минут[/I][/B][/color][/size]

Целый день гонял DrWeb LiveCD. Выловлено в папках \Windows\system32 и \Windows\Temp по штучке Trojan.MulDrop.52414 и Trojan.PWS.Panda.171 и весьма много экземпляров Trojan.Blackmailer.1562. В симантековском карантине тот же Blackmailer и Trojan.Bynx.
После удаления чудеса прекратились и стало возможным начать стандартную процедуру согласно правилам. Завтра будут логи.
MBR, вероятно, невиновна, но 100% уверенности нет. И что, интересно, за информация в лог. секторе 32? (0,0,33)?

Делайте логи, посмотрим что осталось

В процессе предварительного сканирования AVPTool'ом выявлено два трояна - Trojan.Win32.Patched.fr и Trojan.Win32.Sasfis.vcq, один из них (кажется, второй, но 100% не уверен, логи не сохранились) - в карантине антивируса SEP.

Файлы логов (с первого раза что-то не так сделал).

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,c:\windows\system32\oembios.exe,C:\WINDOWS\system32\sdra64.exe,
O20 - AppInit_DLLs: C:\WINDOWS\system32\sgqdd.dll
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\oembios.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\sgqdd.dll','');
DeleteFile('C:\WINDOWS\system32\sgqdd.dll');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('c:\windows\system32\oembios.exe');
BC_ImportALL;
ExecuteSysClean;
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_DeleteSvc('s469792.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил, если будет не пуст
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=64255[/url]).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Спасибо.

Карантин пуст. Логи высылаю.
Небольшое сомнение насчет "подключения к интернету" по п. 2. Насколько должно быть обеспечено реальное соединение с интернетом и не достаточно ли просто подключения к локальной сети?

Выполните скрипт:
[CODE]begin
ExecuteRepair(13);
RebootWindows(true);
end.[/CODE]
Больше ничего плохого не видно.
Что с проблемами?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE='vgo;542122']Насколько должно быть обеспечено реальное соединение с интернетом [/QUOTE]
По возможности оно должно быть реальным.

Ну если важно, чтобы подключение к инету было реальным, сделал его реальным и перегенерировал логи. Вот сейчас отправляю логи с больного компа.

Что до проблем, то вот сейчас наблюдаю проблему. MSIE мне сообщает, что заблокировал всплывающее окно с Вашего сайта.
Сколько тут общаюсь, всплывающих окон как-то не замечал.
Возможно, это признак очередной заразы.

Те же проблемы, о которых я писал в прошлый раз, прекратились после удаления DrWeb LiveCD кучки троянов. Иначе бы я не мог вообще ничего делать.

Спасибо за помощь!

Все-таки остается вопрос о блокированных всплывающих окошках. Когда я вчера, уже после пролечивания, заходил сюда с того самого компьютера, MSIE несколько раз сообщил, что он блокировал некое всплывающее окно.
Это несколько смущает, потому что я вроде бы не замечал всплывающих окон на Вашем сайте.