Printable View
Добрый день. Как обычно, бухгалтерская машина :)
Чистый рабочий стол, через диспетчер задач explorer.exe не запускается, cmd не запускается. Началось вчера с отказапроги типа банк-клиент, написанной на java (запускался как javaw -jar ...)
Необходимые файлы прикладываю
[CODE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/CODE]Скачайте ещё раз AVZ.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\restore\rstrui.exe','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\swmclip.dll','');
QuarantineFile('C:\WINDOWS\system32\logon.scr','');
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
QuarantineFile('c:\windows\system32\alg.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/CODE]Пришлите файлы карантина по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] раздела "Помогите". Повторите логи.
Восстановление системы нужно отключить. ОБязательно!!!
Переустановил AVZ, обновил
Новые логи и карантин:
Подскажите, пожалуйста, как отключить восстановление системы без возможности доступа в меню "пуск"
Не могу прикрепить карантин -
[B]virus.zip[/B]:
182.2 Кбайт превысил(а) предел на форуме.
Вирусы загружаются по ссылке вверху темы. И ТОЛЬКО ТУДА!!!
Нажать Ctrl+Alt+Del, Диспетчер задач, Новая задача, control.exe
Если запуститься будет Панел управления.
Вот эту строчку профиксить в HijackThis:
[CODE]
O4 - HKLM\..\RunOnce: [*Restore] C:\WINDOWS\system32\restore\rstrui.exe -c[/CODE]
Спасибо, Павел, только что увидел эту ссылку ;)
Файл сохранён как 070712_124939_virus_4695eb23d0f4f.zip
Размер файла 1211486
MD5 467a205fdb24e82265f5d855035643a7
control.exe - не запускается, появляется процесс (никакого GUI нет), висит в списке процессов около 5-7 секунд, пропадает.
строчку пофиксил.
[B]Update[/B]: отключил восстановление, попал туда через iexplore.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(false);
end.[/CODE]Explorer запустился? Установочный диск Windows есть?
Скрипт выполнил. Explorer не запустился после перезагрузки машины, не запустился из диспетчера задач.
Диск есть.
Запустите файл [U]c:\WINDOWS\system32\cmd.exe[/U] и наберите в командной строке [U]sfc /scannow[/U]. Может потребовать установочный диск. После выполнения перезагрузитесь и повторите логи. AVZ нужно скачать ещё раз...
sfc /scannow не отрабатывает:
набираю в командной строке, появляется пустая строка и снова приглашение дос.
В AVZ попробуй Файл - Восстановление системы - п.1
перестал запускаться cmd - окошко сразу же закрывается :\
[url]http://dougknox.com/xp/fileassoc/xp_exe_fix.zip[/url]
Скачать, раззиповать.
Будет файл с расширением reg. Два раза на него кликнуть, согласиться с добавлением в реестр.
[size="1"][color="#666686"][B]Добавлено через 2 минуты[/B][/color][/size]
Сейчас скачаю, посмотрю карантин
[size="1"][color="#666686"][B]Добавлено через 8 минут[/B][/color][/size]
Файловый вирус словил W32.Virut.j (по Симантеку) - вот вердикт какой неутешительный.
Что нужно делать - скачать на другом компьютере Cure-It и проверить весь диск полностью, а не только экспресс-анализ. О результатах доложить.
спасибо за файлик, пока временно поборол ключом sfc, который сканирует файлы при следующей перезагрузке. Перезагрузился. Сейчас сканирует.
Качаю Cure-It.
Сначала Cure, а потом sfc. Так будет правильней.
Странная какая-то неделя идет. Уже четвертая или пятая машина с обычным, файловым вирусом.
[quote=PavelA;122341]Сначала Cure, а потом sfc. Так будет правильней.
Странная какая-то неделя идет. Уже четвертая или пятая машина с обычным, файловым вирусом.[/quote]
есть такое :)
зажённые файлы удалять? лечение не удаётся, а один из заражённых экзешников - не виндовый, а нужный рабочий.
Также при запуске с usb-флешки Cure It просигнализировал, что сам заражён.
[QUOTE='PavelA;122341']Странная какая-то неделя идет.[/QUOTE]Чего ты удивляешься, у нас каждый день что-то необычное. Поэтому к нам и обращаются за помощью.
"Похоже, мы его потеряли" - цитата из сериала "Скорая помощь" (возможно не дословно). Это про Ваш екзешник. Можно попробовать оставить, чтобы потом пролечить чем-нибудь другим. Для сохранности сменить расширение скажем на "еее".
Cure-It в начале в защищенном режиме надо было прогнать. А затем уже в нормальном.
Выполняю.
Счётчик заражённых объектов приближается к пятизначной цифре :)
Хмм... После перезагрузки не запускает диспетчер задач :(
[QUOTE=Maxim;122352]Чего ты удивляешься, у нас каждый день что-то необычное. Поэтому к нам и обращаются за помощью.[/QUOTE]
Я про то, что много файловых, довольно старых вирусов пошло. Если взять статистику по "Помогите!" в течении месяца раньше один-два пробегало, а тут каждый третий.
Офф: Ты про такой слыхал One.Half. Занимался тем, что делил диск пополам и шифровал одну из половинок, потом еще, потом еще. Я однажды 8 часов расшифровывал диск Доктором Вебом.
[QUOTE='PavelA;122356']Офф: Ты про такой слыхал One.Half.[/QUOTE]Нет. Это видимо было до меня.
Господа, а как бы мне всё же запустить что-нибудь? а то вот у меня голый рабочий стол, таск менеджер не включается, попробовал сделать Autorun.inf на флешке - ошибка rundll32.
Пуск- выполнить... работает?
нет пуска, нет панели задач, нет систем трея, нет иконок на рабоче столе, на три кнопки - стандартное окошко с кнопками, одна из них - диспетчер задач. При нажатии на неё диспетчер задач не запускается :)
Вынужден констатировать смерть Windows. :( Повреждены все системные файлы. Их восстановление равно переустановке системы. Сожалею, что не смогли Вам помочь. :(
Подцепил винт на чистую машину, сейчас попробую вылечить Cure It и восстановить систему.
Всем большое спасибо за участие, и извините за потраченное время.
[QUOTE='jedi;122394']Подцепил винт на чистую машину, сейчас попробую вылечить Cure It и восстановить систему. [/QUOTE]Сообщите о результатах. Ок? Если после этого запуститься диспетчер задач, можно считать что больного реанимировали :)
[quote=Maxim;122395]Сообщите о результатах. Ок?[/quote]
Договорились :)
[size="1"][color="#666686"][B]Добавлено через 2 часа 51 минуту[/B][/color][/size]
Господа, я её поднял.
Итог: Cure It сработал на 5 баллов;
ни один файл не пропал;
правда, винда поднялась с половиной отключенных сервисов;
заражённых объектов - порядка 12000.
Всем спасибо!
Свежие логи. Выкладываю, потому что при втором запуске после восстановления ругнулось на то, что logon.scr выполнило недопустимую операцию :*
В логах чисто. А если попробовать команду sfc /scannow?
пробовал, не говорит "системные файлы были заменены копиями с неизвестной версией" (или что-то похожее), как в прошлый раз (до полного падения системы). Думаю, та ошибка была вызвана тем, что практически все службы были отключены. Позапускал всё вручную, установил драйвера двух ключей HASP, которые установлены на машине... Сейчас проверяю ещё раз Cure It.
Время, потраченное на починку - порядка 12 часов. Спасибо за бесценный опыт - нарисовалось ещё 3 машины со схожими проблемами. Надеюсь, с ними пойдёт быстрее :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\internet explorer\\iexplore.exe - [B]Virus.Win32.Virut.n[/B] (DrWEB: Win32.Virut.5)[*] c:\\windows\\system32\\alg.exe - [B]Virus.Win32.Virut.n[/B] (DrWEB: Win32.Virut.5)[*] c:\\windows\\system32\\logon.scr - [B]Virus.Win32.Virut.n[/B] (DrWEB: Win32.Virut.5)[*] c:\\windows\\system32\\restore\\rstrui.exe - [B]Virus.Win32.Virut.n[/B] (DrWEB: Win32.Virut.5)[*] c:\\windows\\system32\\swmclip.dll - [B]Trojan.Win32.Small.kt[/B] (DrWEB: Trojan.PWS.Wmsender)[*] c:\\windows\\system32\\userinit.exe - [B]Virus.Win32.Virut.n[/B] (DrWEB: Win32.Virut.5)[/LIST][/LIST]