Биг проблем. Курейт не стартует. Винда в безопасный режим не грузит.

Printable View

Показывать 40 сообщений этой темы на одной странице

19.07.2009, 21:19
Aleksandra

М да... Проблема в том, что машина заражена одновременно несколькими вирусами. Можно написать скрипт на удаление червя, но при активном файловом вирусе это далеко не лучшее решение. Единственное, что в данном случае я могу посоветовать - использовать Live CD. Тема [URL="http://virusinfo.info/showthread.php?t=50188"]http://virusinfo.info/showthread.php?t=50188[/URL] [B]п.1.[/B] Внимательно все прочитайте и выполните! Небольшие уточнения: iso-образ нужно записать на диск как образ, при сканировании не нужно пугаться черного экрана (это режим энергосбережения, можно нажать любую клавишу), окончанием проверки служит выход в главное меню Live CD, после окончания сканирования приложите лог работы Live CD. Вроде все! Если что не понятно можно и нужно спрашивать.
19.07.2009, 21:43
fidan

Неужели все так запущено:( Я уже пытался запускать лайв сд. ни один из ( реаниматор лайв сд, курейт лайв сд) не запустился. Даже винду не удается переустановить...... Будем пробовать..... Но что то сомнения гложут что ВБА запуститься. Хотя попытка не пытка.
19.07.2009, 22:03
Aleksandra

[QUOTE=fidan;434253]Неужели все так запущено:([/QUOTE]
К сожалению, да. Можно сделать такой вывод, посмотрев логи сканера VBA32. Но Ваш случай далеко не безнадежный.

[QUOTE=fidan;434253]Будем пробовать..... Но что то сомнения гложут что ВБА запуститься. Хотя попытка не пытка.[/QUOTE]
Попробуйте! Я думаю, у Вас все получится. :)
19.07.2009, 22:18
fidan

ВБА лайв не стартует! :(
20.07.2009, 01:39
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
RegKeyParamDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Session Manager', 'PendingFileRenameOperations');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\pagefile.pif','');
QuarantineFile('C:\WINDOWS\system32\8F00B2\1D8CD9.EXE','');
QuarantineFile('C:\WINDOWS\system32\dnsq.dll','');
QuarantineFile('c:\windows\system32\com\smss.exe','');
TerminateProcessByName('c:\windows\system32\com\smss.exe');
QuarantineFile('c:\windows\system32\com\lsass.exe','');
TerminateProcessByName('c:\windows\system32\com\lsass.exe');
DeleteFile('c:\windows\system32\com\lsass.exe');
DeleteFile('c:\windows\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('C:\WINDOWS\system32\dnsq.bak');
DeleteFile('C:\WINDOWS\system32\8F00B2\1D8CD9.EXE');
DeleteFile('C:\WINDOWS\system32\com\netcfg.000');
DeleteFile('C:\WINDOWS\system32\com\netcfg.dll');
DeleteFileMask('c:\', 'lsass.exe.*', false);
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\037589.log');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=50186[/URL]

3. Повторите логи + приложите файл boot_clr.log.

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 4 минуты[/I][/B][/color][/size]

Ответ разработчиков по Вашей теме [URL]http://virusinfo.info/showpost.php?p=434351&postcount=12[/URL]

[COLOR=Red][B]Все это справедливо только для beta-версии Live CD![/B][/COLOR]

[QUOTE=sergey ulasen;418238][COLOR=Red]+ Добавилась возможность создания загрузочного флеш-носителя из-под Windows[/COLOR]

Для этого необходимо скачать архив:

[URL]ftp://anti-virus.by/pub/vbarescue_wintools.rar[/URL]
[URL="ftp://vba.ok.by/vba/vbarescue_wintools.rar"]
ftp://vba.ok.by/vba/vbarescue_wintools.rar[/URL]

1. Необходимо распаковать архив vbarescue_wintools.rar в отдельную папку;
2. Скопировать в папку vbarescue_wintools iso-образ vbarescue-beta.iso;
3. Запустить bat-файл runme.bat и следовать получаемым инструкциям.

ВНИМАНИЕ!!! Данные инструкции по записи удалят данные с флеш-носителя. Не забудьте скопировать информацию с флеш на другой носитель.[/QUOTE]
В любом случае, нужно попробовать создать загрузочную флэшку и отписаться о результатах. Спасибо.
21.07.2009, 23:04
fidan

Скрипт выполнен. После перегруза стали работать АВЗ простой и Хайджек. Логи ниже. Карантин загружен. Где я могу найти лог boot_clr.log?
21.07.2009, 23:59
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
DeleteService('NetApi000');
DeleteService('abp470n5');
DeleteFile('C:\WINDOWS\system32\drivers\hllhtn.sys');
DeleteFile('C:\NetApi000.sys');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('C:\WINDOWS\system32\killVBS.vbs');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]O20 - AppInit_DLLs: C:\WINDOWS\system32\dnsq.dll[/QUOTE]

4. Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[QUOTE=fidan;435496]Где я могу найти лог boot_clr.log?[/QUOTE]
В папке с AVZ.
22.07.2009, 00:04
fidan

boot_clr.log такого лога нет в папке авз. Может он скрытый?
скрипт выполнен, строку O20 - AppInit_DLLs: C:\WINDOWS\system32\dnsq.dll -не нашёл.
Логи ниже.
22.07.2009, 00:08
Aleksandra

Хорошо искали? Если все же нет, то выполняйте скрипт и повторяйте логи.

Загрузочную флэшку получилось сделать?
22.07.2009, 00:16
fidan

Искал хорошо. Логи выше. До загрузочной флешки руки еще не дошли. Безопасный режим по прежнему отказывается грузится. Синий экран смерти до сих пор.

Загрузочную флешку сделал однако не грузится. На другой здоровой машине (где и делалась загр флешка) удалось загрузиться с флешки.
22.07.2009, 00:49
Aleksandra

Пол дела сделали! Теперь нужно просканировать машину с помощью VBA32 еще раз. Лучше сделать загрузочную флэшку, но если такой возможности нет, то запускайте сканер с болванки. Даю ссылку на пост [URL]http://virusinfo.info/showpost.php?p=433671&postcount=3[/URL] После окончания сканирования приложите отчеты.

[size="1"][color="#666686"][B][I]Добавлено через 19 минут[/I][/B][/color][/size]

[QUOTE=fidan;435538]Загрузочную флешку сделал однако не грузится. На другой здоровой машине (где и делалась загр флешка) удалось загрузиться с флешки.[/QUOTE]
Хорошо. Отрицательный результат - тоже результат! Теперь хоть знаем в чем причина. Ядро не поддерживает железо. Я передам эту информацию разработчикам. Спасибо.

Обязательно просканируйте машину сканером записанным на болванку.
22.07.2009, 10:04
fidan

Просканирован ВБА. ЛОГ ниже.
22.07.2009, 20:40
Aleksandra

Вроде все! :)

Удалите папки и все их содержимое:

[QUOTE]C:\!result
C:\Documents and Settings\Admin\DoctorWeb\Quarantine[/QUOTE]

Там карантин и логи. Это уже не нужно.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится. Проверьте безопасный режим.
Какие-то проблемы ещё наблюдаются?

Для контроля еще раз сделайте лог [B]virusinfo_syscheck.[/B]
23.07.2009, 11:13
fidan

Скрипты выполнены. Безопасный режим заработал. ВБА лайв СД не запустился. ВБА Бета лайв сд - тот же результат :(. Некоторые экзешники (проги) перестали работать. СС клинер, винамп. Не работают редактор реестра, управление, дисп устройств.
23.07.2009, 11:19
Синауридзе Александр

[QUOTE=Aleksandra;436098]Для контроля еще раз сделайте лог [B]virusinfo_syscheck.[/B][/QUOTE]
Выполните!
23.07.2009, 12:17
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\hllhtn.sys');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_DeleteSvc('abp470n5');
BC_Activate;
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!

3. Повторите лог [B]virusinfo_syscheck.[/B]

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

Можно сказать, что мы победили!

[QUOTE=fidan;436407]ВБА лайв СД не запустился. ВБА Бета лайв сд - тот же результат :(.[/QUOTE]
Это Вам нужно обсудить с разработчиками.

[QUOTE=fidan;436407]Некоторые экзешники (проги) перестали работать. СС клинер, винамп.[/QUOTE]
Их попортил вирус. Деинсталлируйте эти программы и после установите по новой. Другого варианта к сожалению нет.

[QUOTE=fidan;436407]Не работают редактор реестра, управление, дисп устройств.[/QUOTE]
Проверьте после выполнения скрипта все ли работает.

Также рекомендую проверить целостность системных файлов через Пуск -> Выполнить cmd -> sfc/ scannow
23.07.2009, 12:22
fidan

Проблема с загрузкой ВБА лайв СД бета решена.
23.07.2009, 13:01
sergey ulasen

[QUOTE=fidan;436477]Проблема с загрузкой ВБА лайв СД бета решена.[/QUOTE]

После успешного сотрудничества была выяснена причина проблем с загрузкой с CD носителя: поздно определяется CD/DVD-ROM ([URL="http://virusinfo.info/showthread.php?p=436504#post436504"]подробности решения проблемы[/URL]).
Такая проблема не возникает при загрузке с флешки. В данном случае ноутбук не смог начать загрузку с флеш-носителя из-за проблем с BIOS (требовалось немножко с ним поколдовать).
23.07.2009, 16:55
fidan

Скрипт выполнен. Дисп устройств, управление по прежнему не рабочие.
Лог ниже.
24.07.2009, 11:21
Aleksandra

Выполните скрипт:

[CODE]begin
ExecuteRepair(6);
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/CODE]
Проверьте что с проблемами.

Показывать 40 сообщений этой темы на одной странице