падение программ appcrash StackHash

Printable View

26.01.2012, 22:28
zorkiy

падение программ appcrash StackHash

Добрый вечер.
Утром при включении ноут перезагрузился, затем началось падение всех програм.
appcrash в модуле StackHash
днем провел проверку касперским.
затем касперским диск что то там, было выявленокучу всего и затерто, но проблема осталась.
win7
логи прикладываю.
заранее спасибо.
26.01.2012, 22:30
Info_bot

Уважаемый(ая) [B]zorkiy[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.01.2012, 23:10
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Windows\system32\hjbjuij.dll','');
DeleteFile('C:\Windows\system32\hjbjuij.dll');
QuarantineFile('C:\Users\vgrishin\AppData\Roaming\netprotocol.exe','');
DeleteFile('C:\Users\vgrishin\AppData\Roaming\netprotocol.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Netprotocol');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
27.01.2012, 00:44
zorkiy

папка карантин пуста
логи новые делались в этот раз дольше, без безопасного режима наблюдается заторможенность системы
и после перезагрузки появилось непонятное сообщение об ошибке (так же прикладываю.)
основная проблема решилась огромное спасибо.
27.01.2012, 01:22
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Windows\system32\machineupdate32.exe','');
DeleteFile('C:\Windows\system32\machineupdate32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows De-bugger 32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
28.01.2012, 09:07
zorkiy

скрипт выполнил
карантин приложил
логи новые снял
ошибка при перезагрузке осталась
28.01.2012, 17:31
zorkiy

up :O
28.01.2012, 19:10
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Обнаруженные ключи в реестре: 1
HKCU\Software\winxarj (Hoax.ArchSMS) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 1
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|SysDebug32 (Trojan.Agent) -> Параметры: жеAD`В“яѓ¬Ц‡зы+єRQv\PёpOбq”[;[hСл=? 1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”I№ў —њapю9'™Xf5У•µ™†1MZЕѓќ!1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”Gђ%Ы)н—Цp*–y°‹1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”1RK®ћ?z”КAВЬ2мдч -> Действие не было предпринято.

Обнаруженные папки: 1
C:\Users\vgrishin\AppData\Roaming\archsoft (Trojan.Agent) -> Действие не было предпринято.

Обнаруженные файлы: 33
C:\Users\vgrishin\AppData\Local\Temp\0.025424762247548083.exe (Exploit.Drop.2) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\rubashka.css (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\archstart.exe (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\dir.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\dot.gif (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\foot.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\htmlayout.dll (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\logo.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\logo2.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\sb-h-scroll-next.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\sb-h-scroll-prev.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\sb-scroll-back.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\sb-scroll-base.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\sb-scroll-slider.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\sb-v-scroll-next.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\sb-v-scroll-prev.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\scroll.css (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\wfont.ttf (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\_todel.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\_todel2.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\_todel3.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\_todel4.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\_todel5.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\_todel6.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\archsoft\_todel7.png (Trojan.Agent) -> Действие не было предпринято.
C:\Users\vgrishin\AppData\Roaming\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.[/code]
29.01.2012, 01:06
zorkiy

выполнил, ошибка при перезагрузке осталась. =(
29.01.2012, 13:31
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
29.01.2012, 13:57
zorkiy

сделал
29.01.2012, 14:24
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на диск С.
[code]KillAll::

File::
c:\windows\SysWow64\558B.tmp

Driver::

Folder::
C:\tIumgEZnhqulGSd

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
29.01.2012, 15:33
zorkiy

выполнил
ошибка пропала
29.01.2012, 21:38
zorkiy

нужно еще собирать какие нибудь логи или можно начинать удаление установленных инструментов?
29.01.2012, 23:52
thyrex

Лог прислали старый
30.01.2012, 00:02
zorkiy

[QUOTE=thyrex;862528]Лог прислали старый[/QUOTE]
Оо не могу новый найти, еще раз проводить сканирование со скриптом или достаточно просто сканирования для получения нового лога?
30.01.2012, 01:13
thyrex

Просто запустите Combofix еще раз
30.01.2012, 09:07
zorkiy

выполнил
30.01.2012, 14:07
thyrex

c:\windows\SysWow64\558B.tmp удалите вручную

Что с проблемой?
30.01.2012, 21:19
zorkiy

проблема решилассь при перезагрузке ошибок нет, есть легкое подтупливание системы при включении, возможно стоит почистить автозапуск, но потом как буд-то раскочегаривается и нормально.
смущает еще наличие процессов conhost.exe 5 штук.
и куча svhost пождирающих память

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 49 минут[/I][/B][/color][/size]

up :O
31.01.2012, 00:05
thyrex

Количество процессов svchost.exe зависит от количества работающих служб

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

Больше придраться не к чему
31.01.2012, 01:08
zorkiy

[QUOTE=thyrex;862941]Количество процессов svchost.exe зависит от количества работающих служб

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

Больше придраться не к чему[/QUOTE]
спасибо большое за помощь.
01.02.2012, 01:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]