Невозможность входить в логические диски

Printable View

Показывать 40 сообщений этой темы на одной странице

17.03.2008, 17:56
Wingov

Вложений: 3

Невозможность входить в логические диски

Уважаемые специалисты, история такая. Комп. наловил троянов, при стоящем Avast. Вначале обнаружился amvo.exe, который при загрузке системы выдавал окно с ошибкой. Запаниковал, полез в Интернет, попал на ваш форум, увидел подобные обращения по поводу amvo.exe. Заинтересовался прогой AVZ. Поставил её. Запустил. И после этого обнаружил, что зайдя в мой комп. не могу двойным кликом открыть логический диск C. Выскакивает окно с вопросом, какой программой открывать это приложение. Затем решил обратится к вам и стал все делать по пунктам ваших правил. Выполнил пункт, где рекомендована проверка утилитой от DrWeb - CureIT. CureIT все почистил, но после этого при открытии логических, оптических и др. дисков, выскакивает окно "Результаты поиска". Прошу Вас помочь справиться с этой поломкой. Положенные файлы прилагаю.
17.03.2008, 18:12
PavelA

Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ptipbmf.dll','');
QuarantineFile('Serttx2sssfp.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин по Правилам.
17.03.2008, 18:46
Wingov

Выполнил скрипт, загрузил карантин

Павел, выполнил скрипт, загрузил карантин. Жду дальнейших указаний.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

Павел, изменений нет. Может я, что-то не так сделал?
17.03.2008, 19:01
PavelA

Взял файлы только на анализ. Ждите результатов.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

'Serttx2sssfp.sys' - Вот этого поискать через AVZ, он в карантин не попал.

Да, и странно как-то - просил пару файлов, а в карантине даже нет следов второго.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

C:\WINDOWS\system32\ptipbmf.dll - Чистый
17.03.2008, 19:51
Wingov

Ошибка карантина файла

Ошибка карантина файла, попытка прямого чтения (Serttx2sssfp.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\Serttx2sssfp.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\Serttx2sssfp.sys)
Карантин с использованием прямого чтения - ошибка

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Павел, это выдает AVZ.

[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]

Павел, что дальше?

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Павел, Ваше время истекло на сегодня?
17.03.2008, 20:07
V_Bond

то что пишет авз не важно , в карантине есть что -то ?
17.03.2008, 20:33
Wingov

В карантине об этом файле ничего нет.

Уважаемый V_Bond, в карантине о Serttx2sssfp.sys ничего нет.
17.03.2008, 20:36
V_Bond

выполните скрипт ....
[code]
begin
DeleteService('Serttx2sssfp');
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]
какие -то проблемы остались ?
17.03.2008, 20:46
Wingov

Все осталось

Все осталось по прежнему и ещё после входа через значёк "Мой компьютер" появилась новая иконка Web Folders, раньше её не было.
17.03.2008, 20:55
V_Bond

выполните скрипт ... веб папки исчезнут ...
[code]
begin
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.
[/code]
что осталось по прежнему ... ?
диски не открываются ?
17.03.2008, 21:09
Wingov

При открытии дисков, открывается окно поиска

Да, при попытке открытия дисков, открывается окно "Результаты поиска"

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

А веб папка исчезла. Спасибо.
17.03.2008, 21:15
V_Bond

выполните что описано в пункте 3 [url]http://virusinfo.info/showthread.php?t=8877[/url]
17.03.2008, 21:30
Wingov

3. Запустить редактор реестра (Пуск - Выполнить - [I]regedit.exe[/I]) и сделать две вещи:

а) Раскрыть ключ
[B]HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/Current Version/Winlogon[/B]
и проверить значение параметра [B][I]Userinit[/I][/B]. В нем должно быть [I]C:\WINDOWS\system32\userinit.exe,[/I] и ничего более.
(Если система у вас установлена в другой раздел или папку, вместо [I]C:\WINDOWS[/I] будет путь вашей системной папки).

б) Удалить целиком ключ
[B]HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2[/B].

Пункт а) у меня без изменений, а в пункте б) нужно удалить этот ключ. Внутри [B]MountPoints2 [/B]ещё куча каких-то папок. Мне удалять папку [B]MountPoints2 [/B]целиком? А никаких страшных последствий не будет?
17.03.2008, 21:31
V_Bond

MountPoints2 - удалить целиком .... система создаст заново ...
17.03.2008, 21:40
Wingov

Удалил, перезагрузил, но все осталось по прежнему.
17.03.2008, 21:51
V_Bond

сделайте экспорт HKEY_CLASSES_ROOT\Folder ... запакуйте и приложите к сообщению ...
17.03.2008, 22:02
Wingov

Вложений: 1

Экспортировал и заархивировал.
17.03.2008, 22:09
V_Bond

сохраните как 1.reg запустите произ ведите изменения в реестре , перегрузитесь ...
[code]
Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\Folder]
@="Папка"
"EditFlags"=hex:d2,03,00,00
"TileInfo"="prop:Size"

[HKEY_CLASSES_ROOT\Folder\DefaultIcon]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,00,68,00,\
65,00,6c,00,6c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,33,00,00,00

[HKEY_CLASSES_ROOT\Folder\shell]

[HKEY_CLASSES_ROOT\Folder\shell\explore]
"BrowserFlags"=dword:00000022
"ExplorerFlags"=dword:00000021

[HKEY_CLASSES_ROOT\Folder\shell\explore\command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,45,00,78,00,70,00,6c,00,6f,00,72,00,65,00,72,00,2e,00,65,00,78,00,\
65,00,20,00,2f,00,65,00,2c,00,2f,00,69,00,64,00,6c,00,69,00,73,00,74,00,2c,\
00,25,00,49,00,2c,00,25,00,4c,00,00,00

[HKEY_CLASSES_ROOT\Folder\shell\explore\ddeexec]
@="[ExploreFolder(\"%l\", %I, %S)]"
"NoActivateHandler"=""

[HKEY_CLASSES_ROOT\Folder\shell\explore\ddeexec\application]
@="Folders"

[HKEY_CLASSES_ROOT\Folder\shell\explore\ddeexec\ifexec]
@="[]"

[HKEY_CLASSES_ROOT\Folder\shell\explore\ddeexec\topic]
@="AppProperties"

[HKEY_CLASSES_ROOT\Folder\shell\open]
"BrowserFlags"=dword:00000010
"ExplorerFlags"=dword:00000012

[HKEY_CLASSES_ROOT\Folder\shell\open\command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,45,00,78,00,70,00,6c,00,6f,00,72,00,65,00,72,00,2e,00,65,00,78,00,\
65,00,20,00,2f,00,69,00,64,00,6c,00,69,00,73,00,74,00,2c,00,25,00,49,00,2c,\
00,25,00,4c,00,00,00

[HKEY_CLASSES_ROOT\Folder\shell\open\ddeexec]
@="[ViewFolder(\"%l\", %I, %S)]"
"NoActivateHandler"=""

[HKEY_CLASSES_ROOT\Folder\shell\open\ddeexec\application]
@="Folders"

[HKEY_CLASSES_ROOT\Folder\shell\open\ddeexec\ifexec]
@="[]"

[HKEY_CLASSES_ROOT\Folder\shell\open\ddeexec\topic]
@="AppProperties"
[/code]
17.03.2008, 22:29
Wingov

Если это возможно, немного разжуйте для чайника
17.03.2008, 22:36
V_Bond

откройте блокнот ... вставте содержимое , сохраните как 1.reg ...
запустите ...

Показывать 40 сообщений этой темы на одной странице