Система серьёзно пострадала. Причина неясна.

Толи вирь, толи глюк, толи винт сыплется.

[U]Предыстория:[/U]
После стандартной перезагрузки - вдруг синий экран. Минидамп не создаваётся. Хотя в настройках стояло "Создать минидамп и перезагрузиться".
Безопасный режим - аналогично.
Подцепил второй винт, стал грузиться с него. Его винда, увидев первый винт, запустила chkdsk, который выдал "Проверка дескрипторов безопасности" - "Дескрипторы безопасности повреждены. Замена на стандартные".
После чего стало возможно загружаться с первого винта.

[U]Картина маслом:[/U]
Win XP SP3
грузится долго
строка Пуск не видна, каждый раз вытаскиваю с бубном. Открытые окна и программы в ней не отображаются; панель Быстрый запуск отключена, при включении - её значки (30 шт) занимают всю строку до трея.
IE не запускается
В журнале событий - многократная ошибка: Источник-Userenv Событие-1500 Пользователь-Network service
В Диспетчере задач колонка Имя пользователя и закладка Пользователи - пустые.
Окно управления учётными записями пользователей абсолютно пустое.
Восстановление системы не работает ("Восстановлению системы не удается защитить компьютер. Перезагрузите компьютер и повторно запустите восстановление системы")
Программы, использующие .NET выдают ошибку и не запускаются.
Антивирь ESET ESS4 как будто в порядке.

[ATTACH]379253[/ATTACH] [ATTACH]379254[/ATTACH] [ATTACH]379255[/ATTACH][B]

Вопрос:[/B]
Как восстановить работоспособность системы?

[COLOR="#696969"]Есть ли смысл пытаться вытащить старые версии реестра из SystemRestorePoints?[/COLOR]

Уважаемый(ая) [B]Gladman[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[CODE]C:\Program Files\encfs4win
C:\WINDOWS\winstart.bat[/CODE] - Ваше?

[quote="Gladman;927818"]Есть ли смысл пытаться вытащить старые версии реестра из SystemRestorePoints?[/quote]
Попробуйте, но сохраните нынешние.

encfs4win - моё, ставил для dropbox
winstart.bat - не помню. Файл пустой, размер 2 байта.

p.s. update по симптомам:
звук частично не работает:
В Панели управления - Звуки и аудиоустройства - "Аудиоустройства отсутствуют"
На youtube звука нет.
Но в игрушке Plants vs Zombie звук есть.

В диспетчере устройств окно свойств любого устройства не открывается в принципе.

Половина служб с типом запуска "Авто" не запущена, вручную не запускаются, окно свойств любой службы также не открывается.

отсутствие ответов более суток удручает. Ау.

1. sfc /scannow
2. тестирование дисков на наличие сбойных кластеров.

Малваре в логах не видно, поэтому и ответов в теме не было.

1. Защита файлов Windows не смогла запустить сканирование защищенных системных файлов.
Код ошибки: 0x000006ba [Сервер RPC недоступен.].
2. В процессе ... (Павел, посоветовал бы конкретный софт. Или простым CHKDSK?)

[quote="Gladman;928024"]winstart.bat[/quote]
удалите его, от вируса хвосты ...

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="Gladman;928814"]2. В процессе ... (Павел, посоветовал бы конкретный софт. Или простым CHKDSK?)[/quote]
для начала можно им, потом викторией, mhdd

[quote]Была такая-же проблема ( Код ошибки : 0x000006ba [Сервер RPC недоступен . ] ) - решил так:

загружаем Windows в безопасном режиме (или с life cd ),

копируем с рабочей ОС - донора файлы:

WINDOWS\explorer.exe

WINDOWS\system32\hsfcisp2.dll

WINDOWS\system32\hsfcxts2.sys

WINDOWS\system32\sfc.dll

WINDOWS\system32\sfc.exe

WINDOWS\system32\sfc_os.dll

WINDOWS\system32\sfcfiles.dll

WINDOWS\system32\svchost.exe

WINDOWS\system32\user32.dll

и заменяем файлы на поврежденной ОС.



P.S. Вероятно вирус (или "кривой софт") повредил какой-то из этих файлов или несколько, это и привело к ошибке.

Удачи![/quote]
вот примерное решение проблемы. Лог Combofix не помешал бы.

* winstart.bat - удалил. Оказывается с 2010г валялся.

* Винт проверил через CHKDSK, посмотрел S.M.A.R.T., проверил Victoria - всё OK.

* [QUOTE=PavelA;928858]копируем с рабочей ОС - донора файлы:[/QUOTE]сверил файлы - один в один.


* Задумался над [QUOTE=Gladman;927818]
В журнале событий - многократная ошибка: Источник-Userenv Событие-1500 Пользователь-Network service
[/QUOTE](напомню, свойства-описание ошибки не открывается)

Загуглил. [URL="http://forum.oszone.net/thread-195670.html"]Нашёл[/URL] [QUOTE]Источник события: Userenv
Код события: 1500
Пользователь: NT AUTHORITY\NETWORK SERVICE
Windows не удалось выполнить ваш вход в систему, поскольку не удалось загрузить ваш профиль. Проверьте наличие подключения к сети и что сеть правильно работает. Если проблема не устраняется, обратитесь к системному администратору.
Подробно - Отказано в доступе.

Варианты:
нет разрешений NTFS на папку/файл профиля;
какая-то программа блокирует доступ.[/QUOTE]
Вспомнил про [QUOTE=Gladman;927818]винда запустила chkdsk, который выдал "Дескрипторы безопасности повреждены. Замена на стандартные".[/QUOTE]
Открыл Свойства-Безопасность моего диска c:\ и диска c:\ с похожей системы.
Так и есть: на моём диске права только у системы и админов "только для этой папки", а на том - полные права на папку, подпапки и файлы - у системы и админов, плюс прописаны кое-какие права у остальных пользователей. Заменил куцые права на своём диске на расширенные, перезагрузил - всё работает как часы!
:)

p.s.
заработал и bluescreenview - показывает такой вот отчёт об ошибке, из-за которой всё и началось:
[QUOTE]Mini092812-01.dmp 28.09.2012 12:19:00 SYSTEM_SCAN_AT_RAISED_IRQL_CAUGHT_IMPROPER_DRIVER_UNLOAD 0x100000d4 0xa77314d0 0x00000002 0x00000000 0x805339d1 ntoskrnl.exe ntoskrnl.exe+5c9d1 Системный модуль ядра NT Операционная система Microsoft® Windows® Корпорация Майкрософт 5.1.2600.6223 (xpsp_sp3_qfe.120504-1617) 32-бит C:\WINDOWS\Minidump\Mini092812-01.dmp 1 15 2600
[/QUOTE]
пошёл гуглить дальше...

upd:
что-то нифига не нагуглил. Вернее не понял: [url]http://msdn.microsoft.com/en-us/library/windows/hardware/ff560256(v=vs.85).aspx[/url]

[quote="Gladman;929090"]сверил файлы - один в один.[/quote]
по размеру, по дате, или MD5?

[quote="PavelA;928858"]Лог Combofix не помешал бы.[/quote]
как сделайть лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

[QUOTE]по размеру, по дате, или MD5?
[/QUOTE]
по размеру и по дате.

Лог Combofix [ATTACH]379895[/ATTACH]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('c:\windows\system32\drivers\tcpip.sys','');
QuarantineFile('c:\windows\system32\comres.dll','');
QuarantineFile('c:\windows\system32\user32.dll','');
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('c:\windows\regedit.exe','');
QuarantineFile('c:\windows\system32\ctfmon.exe','');
QuarantineFile('c:\windows\system32\SfcFiles.dll','');
QuarantineFile('c:\windows\system32\midimap.dll','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ советую сравнить эти файлы по md5 с донорской системой (или лучше заменить с дитрибутива windous).
http://virusinfo.info/showthread.php?t=51654

загружено
[QUOTE]Результат загрузки
Файл сохранён как 121004_150817_quarantine_506da66134cd1.zip
Размер файла 6172341
MD5 12b011c2e5056dc74c11d41a7a253ca4
Файл закачан, спасибо![/QUOTE]

в карантине всё чистое ....

попробуйте ещё раз сделать sfc /scannow

В логе Комбо видел директорию вроде бы от chkdsk. Думается, надо проверить еще разок chkdsk, а затем сам диск mhdd.

[QUOTE=regist;929258]
+ советую сравнить эти файлы по md5 с донорской системой (или лучше заменить с дитрибутива windous).
[url]http://virusinfo.info/showthread.php?t=51654[/url][/QUOTE]

файлы проверил - md5 совпадает с донором/дистрибутом.


[QUOTE=regist;929322]в карантине всё чистое ....

попробуйте ещё раз сделать sfc /scannow[/QUOTE]

[QUOTE=PavelA;929370]В логе Комбо видел директорию вроде бы от chkdsk. Думается, надо проверить еще разок chkdsk, а затем сам диск mhdd.[/QUOTE]

Ребят, я вас перестал понимать с момента моего ответа, что всё заработало как раньше.
Зачем ещё раз sfc /scannow, chkdsk и mhdd? Если по моим ощущениям, всё встало на места и единственное, что непонятно - причина первоначального BSOD.

[quote="Gladman;929375"]единственное, что непонятно - причина первоначального BSOD.[/quote]
Ваш первоначальный BSOD м.б. связан со сбоями на жестком диске.
[url]http://virusinfo.info/showthread.php?t=125155&p=928024&viewfull=1#post928024[/url] -- Это Ваш ответ. От том, что все заработало после него слов ни разу не было.

[quote="PavelA;929385"]Ваш первоначальный BSOD м.б. связан со сбоями на жестком диске.[/quote]
+1 об этом говорит
[quote="Gladman;927818"]Подцепил второй винт, стал грузиться с него. Его винда, увидев первый винт, запустила chkdsk, который выдал "Проверка дескрипторов безопасности" - "Дескрипторы безопасности повреждены. Замена на стандартные".
После чего стало возможно загружаться с первого винта.[/quote]


насчёт остального у вас похоже какая-то сборка, по крайней мере файлы которые я забирал в карантин отличаются от стандартных, вот поэтому и просил всё остальное ...

+ если предыдущая проверка sfc /scannow не была проведена до конца, то просто для профилактики не помешает новая (файлы могли побиться во время того же сбоя винчестера).

[QUOTE=PavelA;929385]Ваш первоначальный BSOD м.б. связан со сбоями на жестком диске.
[url]http://virusinfo.info/showthread.php?t=125155&p=928024&viewfull=1#post928024[/url] -- Это Ваш ответ. От том, что все заработало после него слов ни разу не было.[/QUOTE]

Были. Может просто неясно выразился:
[QUOTE=Gladman;929090]
...
Заменил куцые права на своём диске на расширенные, перезагрузил - всё работает как часы!
...
[/QUOTE]
[HR][/HR]
[QUOTE]Ваш первоначальный BSOD м.б. связан со сбоями на жестком диске.[/QUOTE]
Возможно. Какими именно сбоями? Ведь S.M.A.R.T. показывает rallocated sectors count = 0, Victoria не нашла ни 1 бэда (все секторы - серые и зелёные, ни одного оранжевого или красного).
[HR][/HR]
[QUOTE=regist;929390]у вас похоже какая-то сборка
[/QUOTE]
Да, сборка. Стоит с 2009г, с рабочим Microsoft Update - все обновления вовремя ставятся.
[HR][/HR]
На данный момент меня интересует, что из удалённого ComboFix'ом можно вернуть безбоязненно? Что нужно предварительно проверить, а что не стоит восстанавливать вообще?

папка C:\WINDOWS\erdnt создана ComboFix'ом? Что насчёт того, чтоб её тоже удалить?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]