Помогите! Win2000 BSOD !!!

Всем привет!
Очень надеюсь на Вашу помошщь!
При загрузке до появления окне входа в домен вылетает BSOD со словами
[B]***STOP 0x00000050 (0xB7724000, 0x00000000, 0xB76B214E, 0x00000000)[/B]
[B]PAGE_FAULT_IN_NONPAGED_AREA[/B]
[B]Begining dump of phisical memory. Phisical memory dump complete. Contact system administrator.....[/B]

Safe mode загружается, но вылетает сообщение "[B]svchost.exe вызвало ошибку и будет закрыто. Необходимо перезапустить программу."[/B] Ну и после этого кое как работает.

Хорошо что рядом есть работающий ПК с выходом в интернет, с него и пишу, логи пренес на флешке.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('bt848rom.dll','');
QuarantineFile('C:\WINNT\system32\ntos.exe_','');
QuarantineFile('C:\WINNT\copyfstq.exe','');
DeleteFile('C:\WINNT\system32\ntos.exe_');
BC_ImportDeletedList;
ClearHostsFile;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезгрузится.
Пришлите карантин согласно приложению 3 правил.

Допрыгались с симантеком ;)советую 2 пункт правил выполнить как указано.С беткой cureit

Про симантек я уже и забыл давно, у него толи лицензия закнчилась то ли что то ещё, короче был админ, где то полгода назад, чёто делал и после этого симантек из трея пропал и больше я его там не видел, юзал НОД 32

[size="1"][color="#666686"][B][I]Добавлено через 29 минут[/I][/B][/color][/size]

[quote=Bratez;136710]Пришлите карантин согласно приложению 3 правил.[/quote]
Боьшой оказался архив, грузился долго...
Как слышно? Приём!?

Не видно вашего карантина...
Да, там много попало при создании логов. Если большой, можете прислать выборочно, только упомянутые в скрипте. И пожалуй вот этот:
C:\Documents and Settings\makarov.CORP\Мои документы\Start\update.exe

Не появился ли присланный мною архив карантина?
[quote=Bratez;136716]можете прислать выборочно, только упомянутые в скрипте. [/quote]
Из упомянутых в скрипте, не могу найти в списке карантина
QuarantineFile('bt848rom.dll','');
и
QuarantineFile('C:\WINNT\system32\ntos.exe_','');
:?

Архив не появился. Пришлите copyfstq.exe и update.exe.

Отправил
virus1.zip!

После этого появилось сообщение

Результат загрузки
Файл сохранён как 070922_074142_virus1_46f50d86dfe63.zip
Размер файла 40944
MD5 a9ce97aa2f743c490501768d6795c08e

Файл закачан, спасибо!

А в прошлый раз когда отправлял большой архив такого сообшения не было! :-(

update.exe - Trojan-Downloader.Win32.Nurech.az
copyfstq.exe - пока под подозрением, отправлен в вирлаб.

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,C:\WINNT\system32\ntos.exe_,
O20 - AppInit_DLLs:
O20 - Winlogon Notify: bt848rom - bt848rom.dll (file missing)
[/code]
Выполните скрипт:
[code]
begin
DeleteFile( 'C:\Documents and Settings\makarov.CORP\Мои документы\Start\update.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Посмотрите этот список:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Служба удаленного управления реестром)
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешены терминальные подключения к данному ПК
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
Что из этого нужно - скажите, остальное поправим.

[quote=Bratez;136730]
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINNT\system32\userinit.exe,C:\WINNT\system32\ntos.exe_,
O20 - AppInit_DLLs:
O20 - Winlogon Notify: bt848rom - bt848rom.dll (file missing)
[/code]
Сделал

Выполните скрипт:
[code]
begin
DeleteFile( 'C:\Documents and Settings\makarov.CORP\Мои документы\Start\update.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]

Сделал

Посмотрите этот список:


[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Служба удаленного управления реестром) - не нужна
>> Службы: разрешена потенциально опасная служба TlntSvr (Telnet) - не нужна (хотя не уверен)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений) - не нужна
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель) - не знаю что это
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий) - нужна наверное, планировщик всё таки
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing) - не знаю что это
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM - нужна
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...) - нужна
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX - не знаю что это
>> Безопасность: Разрешены терминальные подключения к данному ПК - не знаю что это
>> Безопасность: Разрешена отправка приглашений удаленному помошнику - не знаю что это
[/code]
Что из этого нужно - скажите, остальное поправим.[/quote]

ПК использыется на работе, постоянно подключён к интернету, используется корпоративное ПО складского учёта позволяющее взаимодействовать с сетью территориально распределённых отделений, почта MS Exchange. Поэтому и надеюсь всё исправить малой кровью, чтобы не переустанавливать винду.

З.Ы. Я конечно извиняюсь, но скрипты скриптами, а что то положительных сдвигов не видно :'-( Всё тот же синий экран с ошибкой :'-(. Захожу в сейф моде. Пацтулом весь в слезах натурально.

Всё ли я правильно делаю?

Выполните следующий скрипт:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Alerter', 4);
SetServiceStart('Messenger', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.[/code]
и сделайте новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

+ дополнительный лог, как написано тут:
[url]http://virusinfo.info/showthread.php?t=10387[/url]

В Safe mode не работает копирование, наверное из за того что svchost.exe вызвало ошибку. А мне бы файло важное куда то переренсти...
Что посоветуете, пока логи делаются?

удалить остатки симнтека (утилита на сайте симантека лежит)
удалить нод.

drongo! О чудо!!! Как всё оказалось просто!!! Удалил НОД и пишу уже со своего ПК!!! Спасибо Вам Большое! Bratez - тоже большой респект, все эти AVZ и скрипты - прикольная штука, в которой я ничего не понял, и поэтому преклоняюсь перед Вашим мастерством!
Если что буду обращаться, и другим рекомендовать в первую очередь этот сайт!

З.Ы. А как же мне теперь без НОДа, до этого момента он мне вполне нравился :'-(. Или он просто "ругался" с симантеком, и если я удалю остатки симантека, как сказал drongo, и поставлю заново НОД, то всё будет пучком???

Все-таки логи сделайте, особенно дополнительный, там наверняка надо будет кое-что подчистить.
[quote]если я удалю остатки симантека, как сказал drongo, и поставлю заново НОД, то всё будет пучком???[/quote]
Скорее всего так.

[size="1"][color="#666686"][B][I]Добавлено через 59 секунд[/I][/B][/color][/size]

Кстати, пришел ответ про copyfstq.exe - он чистый.

Вот последние логи которые я делал из безопасного режима!
Буду рад ещё получить консультацию по повышению безопасности своего ПК.
Всё, побежал снимать стресс, а то уже не могу - на измену присел неподецки - если бы не разрулилось до понедельника, то меня ждала жестокая извращённая расправа от клиентов и руководства.

Кстати, пришел ответ про copyfstq.exe - он чистый.


Это утилитка Total Copy. Программа для копирования файлов с поддеркой докачки, паузы, ограничения скорости, докачка после выключения питания, обычно копирует быстрее чем windows. Показывает: Скорость скачки, остаток скачки в байтах. Удобный интерфейс.

Мне всегда казалось что copyfstq.exe это её процесс, который следит и подхватывает копирование...

Цитата достойная башорга, прихожу домой, друг спрашивает:
Ну что разобрался с компом на работе?
Я: ДА!
Друг: Ну и чё ты сделал?
Я: Снёс НОД 32!
Друг: И что теперь вирусы чувствуют себя хозяевами на компе и снисходительно позволяют тебе поработать?!

Вы полнить скрипт в Safe Mode, отключив антивирус:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\??\C:\WINNT\system32\k53lock.sys','');
DeleteFile('C:\WINNT\system32\k53lock.sys');
BC_DeleteSvc('k53lock');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки загрузить карантин, если будет не пустой.

в каждой шутке есть доля правды, однако и так нод не замечал руткита ;)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\makarov.corp\\мои документы\\start\\update.exe - [B]Trojan-Downloader.Win32.Nurech.az[/B] (DrWEB: Trojan.DownLoader.21565)[/LIST][/LIST]