explorer.exe:userini.exe и др.

Printable View

Показывать 40 сообщений этой темы на одной странице

18.03.2010, 18:17
dleecher5

Вложений: 3

explorer.exe:userini.exe и др.

проявления:
1. 4 процесса "userini.exe" или "explorer.exe:userini.exe" каждый раз при запуске
2. Невозможность запустить безопасный режим (синий экран и немедленная перезагрузка)
3. CureIt и Nod32 ничего не обнаруживает
4. на сайт "virusinfo.info" не заходит никак иначе кроме как через такую ссылку "http://216.246.91.178/~virusinf"
5. AVZ что-то еще красненьким навыдавал.
6. Иногда машина ни с того ни с сего перезапускается с синим экраном.
7. Иногда процессы в диспетчере задач занимают раз в 5 больше памяти чем обычно.
18.03.2010, 18:39
Шапельский Александр

Пофиксите в Hijack следующие строки:
[CODE]F2 - REG:system.ini: Shell=Explorer.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\ifk9vE5.exe,[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ifk9vE5.exe','');
DelCLSID('{6B830884-20E3-4AB6-B672-2629F0F72071}');
QuarantineFile('C:\Documents and Settings\Daniel\Application Data\CMedia\CMedia.dll','');
QuarantineFile('C:\WINDOWS\system32\myokent.dll','');
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe','');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
DeleteFile('C:\WINDOWS\system32\userini.exe');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe');
DeleteFile('C:\Documents and Settings\Daniel\Application Data\CMedia\CMedia.dll');
DeleteFile('C:\WINDOWS\system32\ifk9vE5.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(10);
Executerepair(16);
Executerepair(20);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Обновите базы АВЗ!
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
18.03.2010, 19:03
dleecher5

[QUOTE]Обновите базы АВЗ![/QUOTE]
А оно не хочет. выдает ошибку при обновлении.
"Ошибка в входе автоматического обновления - Ошибка загрзки файла с описанием обновления avzupd.zip с [url]http://www.z-oleg.com/secur/avz_up/[/url] [21, 00002EFF]"
18.03.2010, 19:33
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(2);
Executerepair(3);
Executerepair(4);
Executerepair(6);
Executerepair(14);
Executerepair(20);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]
Пробуйте обновить
19.03.2010, 09:27
dleecher5

Заметил еще одну особенность - эти процессы "userini.exe" или "explorer.exe:userini.exe" по страшному грузят мне интернет-канал. Пока не поубивал их в диспетчере задач - нормально серфить не мог, в окне состояния подключения пакеты так и летели куда-то во вне (на прием, вроде, не наблюдалось). Как отключил так сразу успокоилось.
19.03.2010, 12:50
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
TerminateProcessByName('C:\WINDOWS\system32\userini.exe');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
DeleteFile('C:\WINDOWS\system32\userini.exe');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
19.03.2010, 17:52
dleecher5

Вложений: 1

не убивается. И еще уточню наличие одного симптома - не происходит обновление баз Nod32, что вкупе с невозможностью зайти на этот сайт по его имени, невозможностью обновить базы АВЗ, говорит о том, что вирус блокирует эти мероприятия.
19.03.2010, 19:03
Шапельский Александр

Пофиксить в Hijack следующие строки:
[CODE]O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
[/CODE]
Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(6);
Executerepair(16);
Executerepair(20);
ExecuteWizard('SCU', 2, 2, true);
ExecuteWizard('PRT', 2, 2, true);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]
Пробуйте обновить базы АВЗ и сделайте новые логи.
20.03.2010, 12:04
dleecher5

Не обновляет. userini исчез, синие экраны продолжаются.
20.03.2010, 12:16
Шапельский Александр

C:\WINDOWS\Minidump--в этой папке должны быть файлы, пришлите их, посмотрим, что вызывает BSOD.
20.03.2010, 12:31
dleecher5

Эта папка пуста.
Могу предложить дать мне ссылку с уже обновленными базами АВЗ...
20.03.2010, 12:38
Шапельский Александр

Лог MBAM сможете сделать? Ссылку на скачивание MBAM возьмите из моей подписи.
20.03.2010, 14:29
dleecher5

Не знаю, связано ли это с вирусами, но на синем экране теперь выдается исключительно одно и то же сообщение вида:

"A problem has been detected and Windows has been shut down to prevent damage to your computer...
Technical information:
*** STOP: 0x0000007E (0xC0000005, 0xFC5CCAF3, 0xFC90F8C0, 0xFC90F5C0)"

Только второе и третье значения в скобках меняются.
20.03.2010, 16:20
Шапельский Александр

Удалите в MBAM
[CODE]Registry Keys Infected:
HKEY_CURRENT_USER\SOFTWARE\Casino Tropez (Adware.Casino) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Casino Tropez (Adware.Casino) -> No action taken.

Registry Values Infected:
HKEY_CURRENT_USER\Control Panel\don't load\scui.cpl (Hijack.SecurityCenter) -> No action taken.
HKEY_CURRENT_USER\Control Panel\don't load\wscui.cpl (Hijack.SecurityCenter) -> No action taken.

Folders Infected:
C:\Documents and Settings\Daniel\Application Data\FieryAds (Adware.FieryAds) -> No action taken.
C:\Program Files\Microsoft Common (Trojan.Agent) -> No action taken.

Files Infected:
C:\Program Files\DAEMON Tools Pro\daemon.tools.pro.patch.exe (Trojan.Agent) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
C:\Documents and Settings\Daniel\Application Data\fieryads.dat (Adware.FieryAds) -> No action taken.
C:\Documents and Settings\Daniel\Application Data\wiaserva.log (Malware.Trace) -> No action taken.
C:\Documents and Settings\Daniel\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
C:\Documents and Settings\Daniel\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> No action taken.
[/CODE]
Сделайте лог MBAM
20.03.2010, 19:08
dleecher5

Вложений: 1

Не помогло. Синие экраны продолжаются (на одном из них еще перед чисткой МВАМ появилась строчка "tcpip.sys - Address ... base at ..., Datastamp ...". На "антивирусные" сайты все так же не заходит и не обновляет базы.
20.03.2010, 21:00
Шапельский Александр

Скачайте и запустите утилиту [URL]http://support.kaspersky.ru/viruses/solutions?qid=208636998[/URL]
21.03.2010, 22:06
dleecher5

Утилита все просканировала. В итоге статистика была совершенно пустой - 0 обнаруженных инфекций. Но в процессе сканирования Нод32 что-то ловил из тех файлов, которые были только что пройдены VirutKiller'ом.
21.03.2010, 22:57
Шапельский Александр

Что сейчас с проблемой? Опишите подробнее.
21.03.2010, 23:58
dleecher5

Целый вечер пока все нормально, никаких синих экранов. Еще не могу сказать с точностью.
Могу сказать сейчас только то, что проблема с отказом заходить на антивирусные сайты и обновляться с них осталась.

П.С. Еще вчера я на свое усмотрение пофиксил в хайджеке несколько сомнительных служб, а сегодня запустил программу Uniblue Registry Booster, она нашла >650 ошибок реестра и пофиксила почти все. Сложно сказать повлияло ли это как-то.

П.П.С. АВЗ при выполнении скрипта сбора информации обнаруживает все эти функции (NtCreateFile и т.д.) вызываемые файлом с каждый раз меняющимся частично именем sp**.sys и вот эти вещи "1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 8AE781F8 -> перехватчик не определен...". И все. В конце пишет - найдено 0 вредоносных программ и 0 подозрений.
22.03.2010, 00:10
Шапельский Александр

[QUOTE='dleecher5;608174']П.П.С. АВЗ при выполнении скрипта сбора информации обнаруживает все эти функции (NtCreateFile и т.д.) вызываемые файлом с каждый раз меняющимся частично именем sp**.sys и вот эти вещи "1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 8AE781F8 -> перехватчик не определен...". И все. В конце пишет - найдено 0 вредоносных программ и 0 подозрений.[/QUOTE]
Это нормально.
[QUOTE='dleecher5;608174']что проблема с отказом заходить на антивирусные сайты и обновляться с них осталась.[/QUOTE]
Попробуем исправить, выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(6);
Executerepair(20);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]
Сделайте новый лог virusinfo_syscheck.zip и логи MBAM, Hijack

Показывать 40 сообщений этой темы на одной странице