Комп сам перезагружается. Что с ним?

Согласно инструкции делаю следующее:
1. Скачал AVZ
2. Запустил AVZ и обновил базы. Закрыл AVZ
3. Скачал Hijack, установил его
4. отключил восстановление Винды (XP prof, SP1) Отключил NOD32
5. Запустил AVZ, выбрал скрипт "Лечения/карантина и сбора инфы для раздела..."
6. Нажимаю "выполнить выбранный скрипт", начинает выполняться и через 2 сек компьютер перезагружается с проверкой при загрузке диска С: на ошибки...

Что делаю не так? Как быть?

ЗЫ, В Темпе в Виндосе все время обнаруживается Rootkit.Agent.EY троян, согласно сообщения NOD32. Вот его и пытаюсь извести... и еще что-нить, если найдется...

Попробуйте сделать лог в безопасном режиме, как описано тут:
[url]http://virusinfo.info/showthread.php?t=10387[/url]

Все равно, даже в защищенном режиме, и с отключением сетевых драйверов, и в режиме с командной строкой не получается прогнать скрипт до конца.
Из стандартных скриптов, для лечения/карантина и сбора инфы...
Программа АВЗ работает, проверяет по этапам комп, проводит эвристический анализ ... ... и комп перезагружается. Даже в безопасном режиме.
Потом винда проверяет диск С на ошибки, и т.д.

Только Хиджекер работает. Его лог я и прикрепил... пытаюсь

Вроде здесь получилось

Вы или не прочли, или невнимательно прочли ссылку, которую дал [b]Bratez[/b]. Тем нет ничего про скрипт лечения. Если перезагрузка идет на момент выполнения скрипта лечения, попробуйте сделать логи, начиная с п. 10 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] Если получится, прикрепите их к теме.
И, еще раз, посмотрите и сделайте дополнительный лог, как предложил [b]Bratez[/b]

1. [B][COLOR=blue]AVZ/Файл/Стандартные скрипты[/COLOR][/B] - отметить #1 - [B]Выполнить - в процессе ваполнения компьютер аварийно перезагружается[/B]
[B]2. [/B]2. [COLOR=blue][B]Файл/Исследование системы[/B][/COLOR] - переключить[I] "Только активные службы и драйверы"[/I] на [B]"Все службы и драйверы"[/B] -[COLOR=blue][B]Пуск/Сохранить протокол - [/B][/COLOR]
[B][COLOR=#0000ff]в процессе переключения компьютер аварийно перезагружается. [/COLOR][/B]
[B][/B]
[B][COLOR=#0000ff]Чесслово, устал, уж не знаю что делать... Никаогда еще с такими траблами не сталкивался[/COLOR][/B]

качай бетку cureit и по второму пункту правил как написано,
если всё равно не получиться, то удалить нод ;) за нодом замечено- звери его портят, он в ответ систему в синьку бросает ;)

Выполнил второй пункт правил. Из защищенного режима с сидюка запустил утилиту cureit - нашла инфицированный файл C:\WINDOWS\system32\srvany.exe и изолировала его. Больше ничего не нашла.

Запускаю из защищенного режима АВЗ с процедурами:
Файл - исследование системы - все службы и драйверы - при исполнении аварийный перезагруз;
Файл - станд. скрипты - скрипт лечения/карантина для раздела Помогите - перезагруз;
Файл - станд. скрипты - скрипт сбора инфы для раздела Помогите - перезагруз.

Что делать дальше?

Что имелось в виду "если всё равно не получиться, то удалить нод ;) за нодом замечено- звери его портят, он в ответ систему в синьку бросает ;) " Поподробнее, плиз!

ЗЫ, HijackThis работает, сделал лог без проблем.

в сейфмоде зайти в панель управления windows , add/remove programes и удалить nod32.

А после, я так понимаю, снова выполнить проверку компьютера по ПРАВИЛАМ, начиная уже с пункта 2?

пунктT 8,9, 10- логи от AVZ нужны ;)

Итак. Удалил NOD32. Перезагрузился.

Далее, в обычном режиме в АВЗ исполняю стандартный скрипт № 3 "Скрипт лечения/карантина и сбора информации для раздела..."-> перезагруз во время исполнения. Причем, происходит это после проверки запущенных процессов и проверки дисков (при которой находит 2 подозрительных файла, один из них stardrv.exe, второй srefresh.exe в папке драйверов к принтеру, его размер 19,5 кБ.) Когда на экране появляется сообщение "Выполняется исследование системы", комп и перезагружается...

Запускал АВЗ в защищенном режиме винды:
1. [B][COLOR=blue]AVZ/Файл/Стандартные скрипты[/COLOR][/B] - отметить #1 - [B]Выполнить - делает прогон, и ничего как бы не обнаруживает. Протокол не создает. Но при отражении событий во время прогона скрипта есть подозрительное сообщение "[/B] 1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
Ошибка обмена с драйвером [00000002] - [1]"
Я экранный "протокол" сохранил и прилагаю.
2. [COLOR=blue][B]Файл/Исследование системы[/B][/COLOR] - переключить[I] "Только активные службы и драйверы"[/I] на [B]"Все службы и драйверы"[/B] -[COLOR=blue][B]Пуск/Сохранить протокол -> [COLOR=#000000]в процессе исполнения снова перезагруз компьютера. [/COLOR][/B][/COLOR]

Ладно, давайте попробуем вслепую такой скрипт:
[code]begin
BC_QrSvc('runtime');
BC_QrSvc('runtime2');
BC_QrSvc('smtpdrv');
BC_QrFile('C:\windows\temp\startdrv.exe');
BC_DeleteSvc('runtime');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('smtpdrv');
BC_DeleteFile('C:\windows\temp\startdrv.exe');
BC_Activate;
Rebootwindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.
Попробуйте теперь сделать логи в нормальном режиме.

Шлю карантин.

Попробую сделать логи в нормальном режиме

Карантин не сюда, уберите и загрузите через эту форму:
[url]http://virusinfo.info/upload_virus.php?tid=12639[/url]

Простите, ошибся. Карантин закачал по ссылке.

Прогнал успешно АВЗ в нормальном режиме, сделал логи. Прикрепляю их. В целом огромное спасибо, что хоть дело с мертвой точки сдвинулось!

Шлю логи

В логах больше ничего подозрительного.

Вот что у вас плохо:
[quote]Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
[/quote]
Такая система - практически решето. Настоятельно рекомендуется установить SP2 + последующие обновления (потребуется повторная активация Windows).

И еще посмотрите, что реально нужно из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX[/code]
Не используемое надо отключить.

Думаю поставить лицензионную Висту, но сомневаюсь - больно много системных ресурсов берет в сравнении с ХР.
Либо лицензионную ХР с SP2. У меня нелегалка сейчас...

>> Службы: разрешена .. RemoteRegistry (Удаленный реестр) - не нужно
>> Службы: разрешена ..TermService (Службы терминалов) - не знаю, что это
>> Службы: разрешена ..SSDPSRV (Служба обнаружения SSDP) - не знаю,что это
>> Службы: разрешена ..Messenger (Служба сообщений) - не нужна
>> Службы: разрешена ..Alerter (Оповещатель) - не нужна
>> Службы: разрешена ..Schedule (Планировщик заданий) - не нужна
>> Службы: разрешена ..mnmsrvc (NetMeeting Remote Desktop Sharing) - не знаю, что это
>> Службы: разрешена ..RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола) - не знаю что это, но думаю не нужна
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)! - [B]единственный ПК в компании, юзер один[/B]
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя - никто кроме меня не юзает
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX - не знаю что это

Что посоветуете делать с операционкой? Оставить ХР, проапгрейпив ее или воткнуть Висту? Что посоветуете из антивирусного софта?

И вот еще. В папке Темп в Виндосе файл stardrv.exe не появляется, но остались два файла ZLT07e1c.TMP и ZLT07e1f.TMP. Они не удаляются и сейчас, и у них раньше всё время менялось название, с каждой загрузкой операционки. Первые буквы ZLT и расширение TMP постоянно, а остальные символы менялись. Может, они тоже с вирусом связаны?

Вот скрипт для отключения потенциальных уязвимостей (кроме автозапуска CD):
[code]begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('Alerter', 4);
SetServiceStart('Messenger', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
Ваши tmp-файлы скорее всего от ZoneAlarm'a.

Насчет Висты - думаю, пока не стоит, лучше ставьте XP SP2 + обновления.

Сегодня (сейчас) прогнал прогу AD-Aware SE Personal , она находит Win32.TrojanPWS.LdPinch в ключах реестра и других местах.

AVZ ничего такого не находит. Кому верить и что делать?

Где она находит, в смысле прога AD-Aware SE Personal ? Если в майл-агенте и ссылка на main.dll, то это скорее всего ошибочная реакция. Ежели в другом файле, то надо проверяться.

Сначала SP2 поставлю. Потом снова перепроверю и подлечю системник.

Воткну хороший антивирь.
Компьютер - бухгалтерский. Технические параметры системы в отчетах были.

Какой посоветуете?

[URL="http://virusinfo.info/showthread.php?t=1550"]Рекомендуемые антивирусы[/URL]

Дорогие други! Доброго вам времени суток!

Как вы рекомендовали, поставил я SP2 на свою операционную систему.
Восставновил антивирь, проверился им. Тот нашел трояны в файлах карантина от AVZ и подозрение на один файл в папке драйверов к принтеру (как и раньше).

Сделал новые логи согласно правил. Помойму, у меня всё ещё кто-то живет.
Так как при исполнении "скрипта лечения/карантина .... №3 в стандартных" красным пишет о восстановлении перехваченных функций...

Посмотрите, пожалуйста.

пофиксите ...
[code]
R3 - URLSearchHook: MraSearch Class - {30DA811B-BCBF-4aa7-B5E3-CEE0E03EF2B2} - (no file)
[/code]
выполните скрипт...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Program Files\Sable\WINNT\startnt.bat','');
QuarantineFile('C:\WINDOWS\system32\LIBEAY32_0.9.6l.dll','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил...

Сделал как велели.
Попутно осваиваю Opera раз IE6 весьма уязвим.

Отправил (отчет)
Файл сохранён как 071006_121214_virus_4707c1ee9b050.zip
Размер файла 348158
MD5 661c114e23ebf7cba3bef60acd377ad0

оба файла по вмрустотал чисты ...
перехваты у вас от установленных антивируса и файервола ..
больше в логах ничего подозрительного ...

[QUOTE=V_Bond;140189]оба файла по вмрустотал чисты ...
перехваты у вас от установленных антивируса и файервола ..
больше в логах ничего подозрительного ...[/QUOTE]

Прогнал прогу a-squared Free 3.0 - нашла еще что-то, удалила это - AVZ теперь перехваты не фиксирует....

Zone Alarm работает после этого ?
В логах его перехваты были.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\temp\\startdrv.exe - [B]Trojan-Downloader.Win32.Diehard.at[/B] (DrWEB: BackDoor.Bulknet)[/LIST][/LIST]