И опять 0xc0000005...

Printable View

Показывать 40 сообщений этой темы на одной странице

02.08.2010, 12:15
an2000

И опять 0xc0000005...

Давно не обращался, обходился сам, но в этот раз... :(

После обнаружения Каспером появлений файла SetupAPI.dll в папках браузеров (IE, Opera, FF) при перезагрузке системы появилась ошибка 0xc0000005 при запуске приложений...

Наблюдение:
Приложения МОЖНО запустить в течение короткого времени (1-2мин) при загрузке системы, далее - всё... 0xc0000005...

Что предпринималось:
Удаление подозрительных файлов из папки TEMP (раньше этого хватало)
Замена файлов sfcfiles.dll, sfc.dll, setupapi.dll на заведомо "чистые"
Отключение Каспера
Вставка в boot.ini "/noexecute=AlwaysOff"

В этот раз ничего не помогает... :(
Прошу помощи.
02.08.2010, 12:17
polword

комплект логов сделайте
02.08.2010, 12:24
an2000

[QUOTE=polword;680498]комплект логов сделайте[/QUOTE]
Не могу.
Hijack (даже с его переименованием) - 0xc0000005
AVZ 4.34 - 0xc0000005...

Конечно, сделаю, если подскажете, КАК.
02.08.2010, 14:18
an2000

[QUOTE=polword;680498]комплект логов сделайте[/QUOTE]
Вот, подсказали тут изменить НЕ ИМЯ, а РАСШИРЕНИЕ с .exe на .com!
Вот один лог, еще два - чуть позднее.
02.08.2010, 16:40
an2000

[QUOTE=polword;680498]комплект логов сделайте[/QUOTE]
Вот еще один:
02.08.2010, 16:48
an2000

[QUOTE=polword;680498]комплект логов сделайте[/QUOTE]
Вот и второй:

(Извините, отвечал через "цитату", т.к. в простом "Ответить" нет возможности приаттачить файл)
02.08.2010, 23:54
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\system32\Drivers\AC2003.sys','');
QuarantineFile('C:\WINDOWS.0\system32\drivers\TDI.SYS','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\sfc.SYS','');
QuarantineFile('C:\WINDOWS.0\System32\sfcfiles.dll','');
QuarantineFile('C:\WINDOWS.0\system32\mssfc.dll','');
DeleteFile('C:\WINDOWS.0\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS.0\system32\mssfc.dll');
RenameFile('C:\WINDOWS.0\System32\sfcfiles.dll', 'C:\WINDOWS.0\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS.0\System32\dllcache\sfcfiles.dll','C:\WINDOWS.0\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
ExecuteRepair(1);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_DeleteSvc('sfc');
BC_DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
03.08.2010, 00:38
an2000

Спасибо, к утру, думаю, сделаю (проверка AVZ идет достаточно долго).

PS AC2003 - это звуковой драйвер (сам ставил).

PPS "WINDOWS" - это опечатка? Может быть, все-таки "WINDOWS.0"?
А в пятой строке? "\0\" - лишнее?
03.08.2010, 06:34
polword

поправил скрипт
03.08.2010, 09:00
an2000

[QUOTE=polword;680987]поправил скрипт[/QUOTE]
Я тоже :) (убрал "\0\" в пятой строке - ну НЕТ у меня там еще одного каталога "0"!)

Включил на исполнение. Скрипт завис (внизу окна было что-то насчет "поиска IIS".
Хотел уточнить - но AVZ.com (переименованная!) не включается, TotalCommander дает: Error executing program
Это всё...

PS Ошибка 5 исчезла, но теперь при запуске приложений вижу:
Отказано в доступе к данному устройству, пути или файлу. Возможно, у вас нет нужных прав доступа к этому об\екту.

Перегружать систему страшно... :)
Могу и переписку с Вами потерять...

Что делать? Присылать файлы, попавшие в карантин?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 3 минуты[/I][/B][/color][/size]

Рискнул перегрузиться... успел войти в браузер!
Теперь все по-прежнему - ошибка 5.
Управляйте мной, плз
03.08.2010, 09:16
olejah

Давайте сделаем новые логи + лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
03.08.2010, 09:30
an2000

[QUOTE=Olejah;681014]Давайте сделаем новые логи + лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL][/QUOTE]
Начали...
Первый (1234.com - это HiJack)
03.08.2010, 11:30
an2000

[QUOTE=Olejah;681014]Давайте сделаем новые логи + лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL][/QUOTE]
Второй...
(Будете общаться с Олегом З. - передайте, плз, что окошко "осталось" в его AVZ - это просто издевательство! 1ч 45мин показывало мне от 38 до 18 минут! :) )
03.08.2010, 11:41
an2000

[QUOTE=Olejah;681014]Давайте сделаем новые логи + лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL][/QUOTE]
Третий...

Та-а-а-ак... MBAM.
Скачал. Установщик запустился, несмотря на то, что он .exe.
Запускаю mdam.exe - ошибка 5.
Переименовываю в .com - вижу при запуске "Run-time error '0' от vbAccelerator и после нажатия "ОК" - "Run-time error '440' от самой MDAM.
Всё...
03.08.2010, 11:47
olejah

Да не цитируйте Вы меня каждый раз - соберите все логи в одном сообщении.
03.08.2010, 12:10
polword

карантин пришлите
03.08.2010, 12:56
an2000

[QUOTE=polword;681097]карантин пришлите[/QUOTE]
Выслал через форму. Единственное - не поставил пароль (понял после отсылки)... :(

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

2Olejah:
Я выше объяснял, что при создании сообщения через "Ответить" в форме НЕТ возможности приаттачить файлы.
Но я Вас понял.
03.08.2010, 13:08
polword

- Выполните еще раз скрипт в AVZ
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\disk g\install\11-Обязательное\vipipclnt 607.com','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\sfc.SYS','');
QuarantineFile('C:\WINDOWS.0\System32\sfcfiles.dll','');
QuarantineFile('C:\WINDOWS.0\system32\mssfc.dll','');
DeleteFile('C:\WINDOWS.0\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS.0\system32\mssfc.dll');
RenameFile('C:\WINDOWS.0\System32\sfcfiles.dll', 'C:\WINDOWS.0\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS.0\System32\dllcache\sfcfiles.dll','C:\WINDOWS.0\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sfc');
BC_DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;
03.08.2010, 13:30
an2000

2polword:
AVZ: ')' expected в позиции 4:34
03.08.2010, 13:39
polword

выполняйте

Показывать 40 сообщений этой темы на одной странице