Errorsafe, WinAntivirusPro

[FONT=Times New Roman][SIZE=3]Здравствуйте,[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Прошу прощение если это послание придет в непонятном виде, дело в том мой IE наполовину сдох, не работают гиперссылки и вложение файлов.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Ситуация такая: с первого дня работы компьютера появлялась (довольно редко) ошибка iexplore.exe « память не может быть “read”». Некоторое время назад словила Errorsafe, на их сайт, конечно, не заходила, но табличка постоянно всплывала. Потом появился WinAntivirusPro2007 и разная реклама. Ошибка «Память не может быть read» стала возникать каждую минуту. CureIT вылечил/удалил кучу зараженных троянами файлов, некоторые заподозрил на MULDROP Trojan. После лечения CureIT файл iexplore.exe потерялся.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Я сделала все, что у вас написано по части AVZ и HijackThis, но отправить сообщение и логи как положено не могу. Есть ли другой способ? Почта Yahoo у меня работает.[/SIZE][/FONT]
[FONT=Times New Roman][/FONT]
[FONT=Times New Roman][SIZE=3]Надеюсь на вашу помощь. [/SIZE][/FONT]

@donna_velata
Без анализов доктор может только цианистый калий прописать ;). А как Вы написали это сообщение? Есть другой браузер? Попробуйте восстановить системные файлы как тут написано: [CODE]Sfc/Scannow[/CODE] [url]http://support.microsoft.com/?scid=kb%3Bru%3B310747&x=11&y=7[/url]

[B]donna_velata[/B], загляните в личку.

Спасибо за помощь, логи отправила по почте.IE работает частично, только через Избранное.

[QUOTE]логи отправила по почте[/QUOTE]Кому по почте?

Мне отправила.

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\empp32.dll','');
QuarantineFile('appmgmts.dll','');
QuarantineFile('C:\WINDOWS\system32\lsasss.exe','');
QuarantineFile('C:\WINDOWS\runtfs32.exe','');
QuarantineFile('C:\WINDOWS\system32\tmpA.tmp.dll','');
QuarantineFile('C:\WINDOWS\iiigge.dll','');
CreateQurantineArchive(GetAVZDirectory+'10084_quarantine.zip');
end.
[/code]

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксте[/url] в HijackThis следующие строки:
[quote]
O2 - BHO: (no name) - {930a0825-2baf-4ba0-9856-464e50e019be} - C:\WINDOWS\system32\empp32.dll (file missing)
O2 - BHO: (no name) - {A24B57F8-505D-4fc5-9960-740E304D1ABA} - C:\WINDOWS\system32\tmpA.tmp.dll
O4 - HKLM\..\Run: [ui] rundll32.exe "C:\WINDOWS\iiigge.dll",realset
O4 - HKCU\..\Run: [SysRestore] "C:\DOCUME~1\1\LOCALS~1\Temp\tmp3.tmp.exe"
O20 - AppInit_DLLs:
O20 - Winlogon Notify: empp32 - empp32.dll (file missing)
[/quote]

Перезагрузите компьютер.
Загрузите файл 10084_quarantine.zip из папки AVZ, используя [url=http://virusinfo.info/upload_virus.php?tid=10084]эту ссылку[/url].
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.
Если не получится приложить, шлите снова по почте.

На странице загрузки файлов сказано, что архив должен быть с паролем "virus", а у меня просто quarantine.zip. Это надо исправить?

[QUOTE=donna_velata;113104]На странице загрузки файлов сказано, что архив должен быть с паролем "virus", а у меня просто quarantine.zip. Это надо исправить?[/QUOTE]
Если выполнять все по правилам, то создание архива и его защита паролем происходит автоматически. Если Вы это сделали вручную, то архив нужно обязательно защитить паролем. В противном случае зараженные файлы могут быть вычищены антивирусом уже при скачивании.

AVZ само все сделало, вышлю как есть

[QUOTE=donna_velata;113140]AVZ само все сделало, вышлю как есть[/QUOTE]
iiigge.dll

AntiVir TR/Dldr.ConHook.Gen
AVG Generic4.QWR
eSafe suspicious Trojan/Worm
Fortinet W32/VIRTUMON.DO!tr
F-Secure Trojan.Win32.Agent.agv
Ikarus Trojan-Spy.Win32.Bancos.ha
Kaspersky Trojan.Win32.Agent.agv
Microsoft Trojan:Win32/Virtumonde.M (threat-c)
NOD32v2 Win32/Adware.Virtumonde.NAB
Norman W32/Suspicious_U.gen
Panda Trj/Agent.FIV
Prevx1 Covert.Sys.Exec
Sophos Virtumundo
Sunbelt VIPRE.Suspicious
Webwasher-Gateway Trojan.Dldr.ConHook.Gen

tmpA.tmp.dll

AntiVir TR/Dldr.ConHook.Gen
BitDefender MemScan:Trojan.Agent.AADI
eSafe suspicious Trojan/Worm
Fortinet suspicious
Ikarus Trojan-Spy.Win32.Bancos.ha
Microsoft VirTool:Win32/Obfuscator.C
Norman W32/Suspicious_U.gen
Panda Suspicious file
Sophos Mal/Packer
Sunbelt VIPRE.Suspicious
Webwasher-Gateway Trojan.Dldr.ConHook.Gen

Выполните скрипт
[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
BC_DeleteFile('C:\WINDOWS\iiigge.dll');
BC_DeleteFile('C:\WINDOWS\system32\tmpA.tmp.dll');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки новые логи + boot_clr.log закачайте по правилам.

Эти скрипты нужно выполнять по-отдельности в три приема? Я стала делать первый , и AVZ сказало,что "begin" ожидается в позиции 1" или что-то в этом роде, и отказалось выполнять.

Я пока не могу прикреплять файлы как надо, потому что работают только те кнопки и ссылки которые можно занести в избранное. Другого браузера нет. Все что отвечает за прикрепление файлов в избранное почему-то не заносится. наверное придется делать так как предложил AndreyKa.

Только самый нижний (это и есть скрипт). Остальное выдержки из логов.

[QUOTE=donna_velata;113152]Эти скрипты нужно выполнять по-отдельности в три приема? [/QUOTE]
Нужно выполнить скрипт начиная от слова:
[QUOTE]
begin[/QUOTE]
.... ;)
Выше стоит информация о том, какие вредители были задетектированы в закачаных файлах. Я подкорригирую мое сообщение, чтобы было понятнее.
EDIT: Спасибо PavelA :)

Как их много, однако.
Сейчас посмотрела, в меню Файл в том , что осталось от IE, над строкой Свойства есть вкладка Amazon.com. Online shopping for Electron. Это так и должно быть?

[QUOTE=donna_velata;113168]Как их много, однако.[/QUOTE]
их два. Но высокого качества ;). На Вирустотал собраны различные Антивирусы, т.е. слева - имя фирмы, справа - как называется зловред по ее определению.
[QUOTE]Сейчас посмотрела, в меню Файл в том , что осталось от IE, над строкой Свойства есть вкладка Amazon.com. Online shopping for Electron. Это так и должно быть?[/QUOTE]Если Вы что-то покупали или хотели купить в этих онлайн-магазинах, то эти вкладки возможны.
Скрипт выполнили? Файлы отправили?

Да, выполнила и отправила

Новые логи.

Еще два подозреваемых ускользнули от карантина.
Выполните скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\lsasss.exe','');
QuarantineFile('C:\WINDOWS\runtfs32.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин (см. приложение 3 правил).

Скрипт выполнила, карантин отправила.

Вы прислали старый карантин. Попробуйте вручную, как написано в приложении 2 правил, поместить в карантин и прислать эти файлы:
[B]C:\WINDOWS\system32\lsasss.exe
C:\WINDOWS\runtfs32.exe[/B]

Плюс к совету Brateza можно попробовать поискать в Safe Mode.

Попробуйте установить Internet Explorer 7. Возможно это решит вашу проблему.
[url]http://www.microsoft.com/downloads/details.aspx?FamilyID=9ae91ebe-3385-447c-8a30-081805b2f90b&displaylang=ru[/url]

Прислала. Теперь правильно?

Спасибо за совет, попробую.

карантин пустой!!! Ищите и присылайте файлы.

Делала как в пункте2. Как искать в Safe mode?

[url]http://virusinfo.info/showthread.php?t=9279[/url] - читайте инструкцию

Сложно искать черную кошку в темной комнате, особенно если ее там нет. ;)

donna_velata, выполните скрипт в AVZ
[code]
begin
SetAVZGuardStatus(True);
SysCleanAddFile('C:\WINDOWS\system32\lsasss.exe');
SysCleanAddFile('C:\WINDOWS\runtfs32.exe');
ExecuteSysClean;
SetAVZGuardStatus(False);
end.
[/code]
После того, как установите Internet Explorer 7, сделайте новые логи начиная с 10-го пункта Правил.

Поискала в Safe Mode, нашлись C:\WINDOWS\system32\lsass.exe (с двумя s, изготовитель Майкрософт), и C:\WINDOWS\Prefetch\RUNTFS32.EXE-0969A750Dpf - это они?

точнее, RUNTFS32.EXE-0969A750D.pf

Нет. Первый - фирменный системный файл. Второй - данные для ускоренной загрузки.

Значит я выполняю скрипт. Или еще расширенный поиск попробовать? (Правда, не знаю размеров файлов и когда были изменены.)

Выполняйте скрипт, а потом сделаете новые логи.

Сделала

На мой взгляд, логи чистые. Только надо удалить
C:\WINDOWS\runtfs32.exe
из Active Setup: Меню AVZ - Сервис - Менеджер Active Setup - щелкнуть на строке с именем файла C:\WINDOWS\runtfs32.exe и нажать кнопку с крестиком.

И еще странность - видимо отсутствует файл appmgmts.dll в папке C:\WINDOWS\system32

Проблемы остались?

Скачала новый Интернет Эксплорер, логи прислались, но есть проблема с языковой панелью. Не хочет переключаться не английский. В старом были похожие трудности с самого начала, но сейчас даже хуже.Мне кажется это какая-то несовместимость. Может стоит другой браузер установить?

А так вроде все нормально. Сейчас добъю рантфс:)

Все добила. Спасибо всем огромное за помощь!

[QUOTE=donna_velata;113451] Может стоит другой браузер установить?
[/QUOTE]
Хорошая идея :thumbsup: . Порекомедую [URL="http://www.mozilla.org/"]Лису[/URL] с расширением [URL="http://ietab.mozdev.org/"]IETab[/URL] - и об эксплорере можно медлено забыть ;)

Спасибо за совет