Проблема была такая - WIN XP, запрешено редактировать реестр, запрещен диспетчер задач, при запуске эксплорера окно с порнухой, требует бабки, при запуске win требует бабки..
Скачал Dr. Web CureIt!, проверил на вирусы, все удалил, перезагрузил..
Затем поставил AVZ, сделал восстановление системы...появился диспетчер, при запуске браузеров все отлично..тока НОД не запускается в автозагрузке...
почему при перезагрузке опять порнуха в браузере и опять отключен диспетчер???:(
да.. при проверке dr.web нашел и удалил следующие вирусы :Win32.HLLW.Autohit.3438
Trojan.Packed.2479
BackDoor.Tdss.266
Tool.Pwdump
Trojan.DownLoad.33507
BackDoor.IRC.Sdbot.4823
Program.PrcView.3741
Trojan.Inject.5804
Win32.HLLW.Druck.5
Никакой блокировки диспетчера задач в логах нет
Логи делали без запущенного браузера? Если да, то их нужно переделать
нет логи я сделал после восстановления системы...сделать перед восстановлением системы и с запущенным браузером??
повторюсь еще раз.. после того как в AVZ делаю восстановление системы, все приходит в норму, затем перезагружаюсь и опять нет диспетчера, и порно в браузере и запрещено редактировать реестр..
какие именно сделать логи??
С запущенным браузером и включенным AVZPM
вот сделал
cVBqSz.dll - есть в папке system32?
Посмотрите с помощью AVZ (Сервис - Поиск файлов на диске)
есть в систем 32
что с ним делать убить?
[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]
удалил файл, восстановил систему, перезагрузился, ничего не изменилось
[B]virusinfo_cure.zip[/B] уберите из вложений.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\cVBqSz.dll','');
DeleteFile('C:\WINDOWS\system32\cVBqSz.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(17);
ExecuteWizard('TSW', 1, 1, true);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
сделал новые логи, выслал карантин, все симптомы теже, делаю восстановление системы, после перезагрузки все повторяется+ когда шелкаешь правой кнопкой по раб столу, в контекстном меню тока : Обновит, Свойства, Вставить, вставить ярлык...
карантин дошел??
[size="1"][color="#666686"][B][I]Добавлено через 1 час 45 минут[/I][/B][/color][/size]
поставил agavaAnti Spy отсканил
нашел следующее AB System Spy, Futh, Redirected hostfile entry..
все удалил, но после перезагрузки опять находит то же самое..
понятно что все дело в перезагрузке..но не понятно как это устранить...
Карантин дошел
Результат проверки на ВирусТотал файла C:\WINDOWS\system32\cVBqSz.dll
[url]http://www.virustotal.com/ru/analisis/b6881c2364674403b7d192693ab0a2741da123ebd073e1c120232bdf72bc50d9-1247136020[/url]
Выполните скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\RpCtgr.dll','');
DeleteFile('C:\WINDOWS\system32\RpCtgr.dll');
QuarantineFile('C:\WINDOWS\system32\crypt.dll','');
DeleteFile('C:\WINDOWS\system32\crypt.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(17);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 1, 1, true);
RebootWindows(true);
end.[/CODE]
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
сейчас выташил hdd, воткнул в другой комп, проверил spyware terminator, он удалил несколько троянов. сейчас проверяю нодом.. он нашел D:\WINDOWS\system32\autorun.inf - Win32/Tifaut.C червь
D:\System Volume Information\_restore{CCF18627-5AE8-46DA-A73C-9B28ECE1F5F4}\RP105\A0007155.inf - Win32/Tifaut.C червь - очистка невозможна - удален
D:\System Volume Information\_restore{CCF18627-5AE8-46DA-A73C-9B28ECE1F5F4}\RP105\A0007156.sys - модифицированный Win32/Kryptik.NM троян - очистка невозможна - удален
D:\System Volume Information\_restore{CCF18627-5AE8-46DA-A73C-9B28ECE1F5F4}\RP105\A0007157.exe »AUTOIT »script.au3 - Win32/Packed.Autoit.Gen приложение
D:\System Volume Information\_restore{CCF18627-5AE8-46DA-A73C-9B28ECE1F5F4}\RP105\A0007157.exe - Win32/Packed.Autoit.Gen приложение - удален
комп главбуха, лечить надо срочно...сейчас допроверяю вставлю назад и выполны скрипт, запишу логи и отправлю
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
а что делать с результатом проверки на вирус тотал?
Это для ВаС Информация, да и для нас, для истории.
"Восстановление системы" теперь уже можете отключить?
щас допроверяет на этом компе, вставлю в родной попробую..
всмысле отключить??
Да. И после этого пропустить скрипт из [url]http://virusinfo.info/showpost.php?p=429455&postcount=12[/url]
сейчас попробую, я еще доктором вебом решил просканить для надежности, он нашел в System Volume Information что-то под названием Tool.Pwdump..
выполнил скрипт, после выполнения удалось произвести восстановление системы...сдал логи...все равно помоему что-то осталось нехорошее в системе..когда шелкаешь правой кнопкой по рабочему столу, в контекстном меню тока : Обновить, Свойства, Вставить, вставить ярлык...
скинул карантин после выполнения скриптов
В логах чисто.
В AVZ Файл восст системы, п.6,8 отметить и выполнить.
выполнил..не помогло..
[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]
[QUOTE]В AVZ Файл восст системы, п.6,8 отметить и выполнить.[/QUOTE]
сделал..не помогло..
Вот это попробуй:
[url]http://www.kellys-korner-xp.com/regs_edits/desktoptab.reg[/url]
а как этим пользоваться??
Скачать и сказать "Добавить в реестр". Хуже не станет.
ок попробую...отпишусь..
добавил в реестр [url]http://www.kellys-korner-xp.com/regs...desktoptab.reg[/url], не помогло...
неужени придется переставлять ОС..очень бы нехотелось, может есть еще какие-то средства?
Надо будет поискать потщательнее. К сожалению, все полезные ссылки на работе.
Ждите. Скорее всего что-то слетело в настройках explorer.exe
жду...
Покопайся вот на этом сайте:
[url]http://www.kellys-korner-xp.com[/url]
Но аккуратно.
может эксплорер попробовать переставить? будет толк?
Заменить Проводник Астоном?
[QUOTE=pig;430454]Заменить Проводник Астоном?[/QUOTE]
что есть астон, расскажи..
[url]http://www.astonshell.com/index.html[/url]
переставил эксплорер, сбросил настройки по умолчанию.. не помогло..астон не вариант, это что-то вроде темы?? комп бухгалтера..
Это замена Проводника, с которым глюки.Нет тема, а другая оболочка. Функционально похожая, но другая.
а можно как-то заменить стандартный проводник, на стандартный, не переставляя систему?? я уже подумываю о том чтоб посмотрет в работающей ОС реестр и сделать такие же записи в неработающей, ток не знаю , какие именно записи...
Проводник очень глубоко встроен в систему, поэтому заменить его вряд ли удасться.
[url]http://my-soft-blog.net/mmm[/url] - для редактирования контекстного меню Проводника.
[url]http://otvety.google.ru/otvety/thread?tid=600f7a149b06c9a5&clk=wttpcts[/url] - описание, где это все сидит в реестре.
[url]http://www.nirsoft.net/utils/shexview.zip[/url] - полезная утилита (без инсталляции)
спасибо, седня все испробую...отпишусь..mmm ставил уже не помогло..
Посмотри по посл. ссылке. Там маленькая утилитка.
Все проблема решена. Сделал следующим образом: импортировал с рабочего компа ветки регистра HKEY_CLASSES_ROOT\Directory и HKEY_CLASSES_ROOT\.Folder, перенес reg-файлы, на проблемную машину и сделал слияние... в программе shexview не разобрался...
всем кто помог огромное спаибо)