Printable View
Добрый день. Как обычно, бухгалтерская машина :)
Чистый рабочий стол, через диспетчер задач explorer.exe не запускается, cmd не запускается. Началось вчера с отказапроги типа банк-клиент, написанной на java (запускался как javaw -jar ...)
Необходимые файлы прикладываю
[CODE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/CODE]Скачайте ещё раз AVZ.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\restore\rstrui.exe','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\swmclip.dll','');
QuarantineFile('C:\WINDOWS\system32\logon.scr','');
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
QuarantineFile('c:\windows\system32\alg.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Повторите логи.
Восстановление системы нужно отключить. ОБязательно!!!
Переустановил AVZ, обновил
Новые логи и карантин:
Подскажите, пожалуйста, как отключить восстановление системы без возможности доступа в меню "пуск"
Не могу прикрепить карантин -
[B]virus.zip[/B]:
182.2 Кбайт превысил(а) предел на форуме.
Вирусы загружаются по ссылке вверху темы. И ТОЛЬКО ТУДА!!!
Нажать Ctrl+Alt+Del, Диспетчер задач, Новая задача, control.exe
Если запуститься будет Панел управления.
Вот эту строчку профиксить в HijackThis:
[CODE]
O4 - HKLM\..\RunOnce: [*Restore] C:\WINDOWS\system32\restore\rstrui.exe -c[/CODE]
Спасибо, Павел, только что увидел эту ссылку ;)
Файл сохранён как 070712_124939_virus_4695eb23d0f4f.zip
Размер файла 1211486
MD5 467a205fdb24e82265f5d855035643a7
control.exe - не запускается, появляется процесс (никакого GUI нет), висит в списке процессов около 5-7 секунд, пропадает.
строчку пофиксил.
[B]Update[/B]: отключил восстановление, попал туда через iexplore.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(false);
end.[/CODE]Explorer запустился? Установочный диск Windows есть?
Скрипт выполнил. Explorer не запустился после перезагрузки машины, не запустился из диспетчера задач.
Диск есть.
Запустите файл [U]c:\WINDOWS\system32\cmd.exe[/U] и наберите в командной строке [U]sfc /scannow[/U]. Может потребовать установочный диск. После выполнения перезагрузитесь и повторите логи. AVZ нужно скачать ещё раз...
sfc /scannow не отрабатывает:
набираю в командной строке, появляется пустая строка и снова приглашение дос.
В AVZ попробуй Файл - Восстановление системы - п.1
перестал запускаться cmd - окошко сразу же закрывается :\
[url]http://dougknox.com/xp/fileassoc/xp_exe_fix.zip[/url]
Скачать, раззиповать.
Будет файл с расширением reg. Два раза на него кликнуть, согласиться с добавлением в реестр.
[size="1"][color="#666686"][B]Добавлено через 2 минуты[/B][/color][/size]
Сейчас скачаю, посмотрю карантин
[size="1"][color="#666686"][B]Добавлено через 8 минут[/B][/color][/size]
Файловый вирус словил W32.Virut.j (по Симантеку) - вот вердикт какой неутешительный.
Что нужно делать - скачать на другом компьютере Cure-It и проверить весь диск полностью, а не только экспресс-анализ. О результатах доложить.
спасибо за файлик, пока временно поборол ключом sfc, который сканирует файлы при следующей перезагрузке. Перезагрузился. Сейчас сканирует.
Качаю Cure-It.
Сначала Cure, а потом sfc. Так будет правильней.
Странная какая-то неделя идет. Уже четвертая или пятая машина с обычным, файловым вирусом.
[quote=PavelA;122341]Сначала Cure, а потом sfc. Так будет правильней.
Странная какая-то неделя идет. Уже четвертая или пятая машина с обычным, файловым вирусом.[/quote]
есть такое :)
зажённые файлы удалять? лечение не удаётся, а один из заражённых экзешников - не виндовый, а нужный рабочий.
Также при запуске с usb-флешки Cure It просигнализировал, что сам заражён.
[QUOTE='PavelA;122341']Странная какая-то неделя идет.[/QUOTE]Чего ты удивляешься, у нас каждый день что-то необычное. Поэтому к нам и обращаются за помощью.
"Похоже, мы его потеряли" - цитата из сериала "Скорая помощь" (возможно не дословно). Это про Ваш екзешник. Можно попробовать оставить, чтобы потом пролечить чем-нибудь другим. Для сохранности сменить расширение скажем на "еее".
Cure-It в начале в защищенном режиме надо было прогнать. А затем уже в нормальном.
Выполняю.
Счётчик заражённых объектов приближается к пятизначной цифре :)
Хмм... После перезагрузки не запускает диспетчер задач :(