После попыток вылечить WinXP перезагр. на старте

Здравствуйте!

Рабочий компьютер подхватил какую-то заразу. Сначала после логина под любым пользователем в любом режиме стало появляться окно с сообщением о внезапном завершении services.exe и перезагрузке через 60 секунд. После загрузки с помощью Alkid'а вычистил из раздела Userinit все после запятой и соответствующие файлы с винчестера. Кроме того, один из них был прописан в сервисы. (c40c2d12.exe, rdfsaz.exe, MSDartSR.cmd - все в system32). После этого смог заходить в сейфмоду (правда, был блокирован доступ ко многим антивирусным сайтам и сайту MS). Зато в обычном режиме дело перестало доходить даже до логонскрина - сразу после пробегания прогрессбара в текстовом режиме - перезагрузка. В сейфмоде выполнил route -f и несколько раз прогнал Vit Registry Fix и Malwarebytes' anti-malware. Результат: в сейфмоде блокировка сайтов прекратилась, в обычном режиме - не доходит даже до прогрессбара.

Прилагаю логи, очень надеюсь на помощь!

П.С. Забыл на всякий случай сказать: вся статистика была собрана из под сейфмоды стандартного Администратора...

П.П.С. Забыл указать, что компьютер работал под лицензионным DrWeb'ом, после того, как я смог загрузиться в сейфмоде прогнал свежим Касперским (бесплатным), который нашел тучу всяких рисков, для всех из которых говорил Лечить, не лечится - удалить.

Здравствуйте,
[QUOTE]вся статистика была собрана из под сейфмоды стандартного Администратора...[/QUOTE]... и потратили впустую уйму времени: логи из безопасного режима бесполезны.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
[QUOTE]Logfile of HijackThis v1.99.1[/QUOTE]
- Скачайте последнюю версию Hijackthis по ссылке в правилах.
- Обновите базы АВЗ: (Файл/Обновление баз).
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-[url="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/url]:
[code]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
[/code]
-[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\DRIVERS\cloverm.sys','');
DeleteService('AWService');
QuarantineFile('AWService.sys','');
DeleteFile('AWService.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\AWService.sys');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('AWService.sys');
BC_Activate;
CreateQurantineArchive('%userprofile%\desktop\avz_quarantine.zip');
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/code]

[COLOR="Red"]Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.[/COLOR]

После перезагрузки:

- Файл [b]avz_quarantine.zip[/b] с Рабочего Стола закачайте [url="http://virusinfo.info/upload_virus.php?tid=85401"]ТУТ[/url] для анализа.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

Позвольте уточнить: действия, которые Вы предлагаете сделать, следует делать не из сейфмоды? Но ни в каком другом режиме я загрузиться не могу - перезагрузка наступает на очень ранней стадии (см. первое сообщение).

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

По скрипту: Ошибка скрипта: Too many actual parameters, позиция [14:13]
По Хайджеку: Обновил, но таких строк [020] у меня нет. F2 пофиксил.

Сейчас перезагружусь и еще раз все попробую...

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Зайти в систему кроме как в сейфмоде по прежнему не могу - сразу после прогресбара в текстовом режиме происходит перезагрузка и старт меню, из которого остается только выбрать сейфмоду...

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Я правильно понимаю, что в вызове BC_DeleteSvc('AWService.sys','');
второй параметр (пустая строка) - лишний?

[size="1"][color="#666686"][B][I]Добавлено через 31 минуту[/I][/B][/color][/size]

Исправил ошибку в скрипте как знал (убрал лишний параметр), выполнил карантин приаттачил.

Собрал логи еще раз. Снова, увы, в сейфмоде. Из под пользователя, под которым произошло заражение.

[QUOTE=-=LJ=-;688179]Снова, увы, в сейфмоде. Из под пользователя, под которым произошло заражение.[/QUOTE]
Запускать антируткиты в сейфмоде бессмысленно. Если пользователь не имеет прав админа - это дважды бессмысленно.
- Сделайте лог полного сканирования [url="http://virusinfo.info/showthread.php?t=53070"]MBAM[/url].

[QUOTE=Rene-gad;688313]Запускать антируткиты в сейфмоде бессмысленно. Если пользователь не имеет прав админа - это дважды бессмысленно.
- Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].[/QUOTE]

Он их имеет. Лог MBAM прилагаю.

[QUOTE=Rene-gad;688313]Запускать антируткиты в сейфмоде бессмысленно. Если пользователь не имеет прав админа - это дважды бессмысленно.
- Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].[/QUOTE]

Пока больше ничего сделать невозможно?

[QUOTE='-=LJ=-;688067']сразу после пробегания прогрессбара в текстовом режиме - перезагрузка. [/QUOTE]
Выберите "Отключить автоматическую перезагрузку при отказе системы". Что там будет написанно?

[QUOTE=light59;690499]Выберите "Отключить автоматическую перезагрузку при отказе системы". Что там будет написанно?[/QUOTE]

Раньше так делал - результат был ровным счетом такой же. Никаких надписей, никакой информации на экране - перезагрузка и все.

Увы, теперь это все в прошлом. Я уже от безвыходности попытался произвести repair installation винды, но диск, который мне для этой цели пришлось использовать, был неправильный. В результате я теперь прекрасно попадаю в логонскрин обычного (не сэйф) режима, но залогиниться не могу по причине - требуется активация :(

[QUOTE=light59;690499]Выберите "Отключить автоматическую перезагрузку при отказе системы". Что там будет написано?[/QUOTE]

К счастью, удалось найти подходящий диск и произвести восстановительную установку. Смог загрузиться в нормальном режиме под тем пользователем с правами администратора, под которым произошло заражение. Систематически стало выводиться сообщение об ошибке и завершении процесса msfeedssync.exe.[B]

[/B]Снял логи HJT. AVZ в процессе. Мучительно надеюсь на дальнейшую помощь...

Во время выполнения длинного скрипта AVZ комп завис и перезагрузился, предварительно выдав сообщение о завершении winlogon.exe :(

Удалил несколько ненужных программ. Выполнил msfeedssync.exe disable. Пересобрал статистику. Работа компьютера пока доверия не вызывает: время от времени виснет, вылетают обычные программы. В сеть пока его не пускаю, только обновил Доктора Веба.

[QUOTE=light59;690499]Что там будет написано[/QUOTE]

Последние логи чистые? Я после их высылки удалил все, что относилось к Акробату (как Ридеру, так и просто акробату). Но сейчас через некоторое время после начала работы начинает дурить lsass.exe - занимает почти все ресурсы процессора... Какую еще информацию я могу предоставить, что бы победить заразу? Обидно было бы после стольких мучений завершить дело полной переустановкой винды :(((

[QUOTE=-=LJ=-;691197]только обновил Доктора Веба.[/QUOTE]какого Др.Веба?! :O У Вас же там Нортон установлен... Вы уж плиз решайте, какой антивирус, но не 2 сразу.
- Установите все [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru]важные обновления[/url].
- Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/url] - даже если Вы им не пользуетесь.
А заразы в логах не увидел.

[QUOTE=Rene-gad;691831]какого Др.Веба?! :O У Вас же там Нортон установлен... Вы уж плиз решайте, какой антивирус, но не 2 сразу.
- Установите все [URL="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]важные обновления[/URL].
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/URL] - даже если Вы им не пользуетесь.
А заразы в логах не увидел.[/QUOTE]

Нортон там стоял последний раз около трех лет назад. Сейчас как минимум год там стоит лицензионный Дрвеб - это совершенно определенно. Стоял до последнего времени во вспомогательном режиме (без мониторинга) Комодо, но Нортон - нет.

Все обновления и ИЕ8 я установил после последних логов, но до последнего сообщения... Зависание и отжирание lsass'ом ресурсов процессора отмечалось уже после того, как все это было выполнено :(

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]