BSOD при запуске сканирования утилитой DrWeb CureIt [Trojan-Spy.Win32.Zbot.jlrz ]

Добрый вечер!

Проблемы:

1. ~2 недели назад начала очень долго запускаться Windows (после приветствия).

2. ~ 1 неделю назад чистил реестр с помощью CCleaner, отключил некоторые программы автозапуска, проверил все диски антивирусом Avira Personal Free (базы данных не обновлялись с 31.12.2012, антивирус ничего не нашёл) - проблема п.1 не решилась.

4. Вчера-сегодня почти при каждом запуске Windows начали запускаться случайные службы без запроса (Передача файлов через Bluetooth, Свойства системы и т.д.).
Также стали закрываться при использовании различные программы с выводом ошибки. Периодически не запускаются браузеры (IE, Firefox, Opera). Начались "зависания" при работе Opera, просмотре файлов и папок.

6. Сегодня была скачана утилита DrWeb CureIt. При запуске и начале сканирования системы появляется BSOD. В безопасном режиме - тоже. Единственный антивирус (Avira) при запуске CureIt отключал.

Файлы прилагаю.

Уважаемый(ая) [B]2olegend[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Забыл ещё добавить:
1) сегодня регулярно при запуске Windows появляется сообщение "Восстановление рабочего стола Active Desktop". После нажатия "восстановить" - выводится "ошибка сценария IExplorer", восстановления не происходит.

2) AVZ обновлять базы отказывается, выдаёт ошибку.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

В процессах (Диспетчер задач) появилось 9 копий процесса svchost.exe.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\cmd.exe','');
QuarantineFile('C:\WINDOWS\system32\dskquoui.dll','');
QuarantineFile('C:\Documents and Settings\Администратор\fswagz.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\cbzvl.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Gesi\madiv.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\24109B\24109B.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\rwhIm9hsLM4.exe','');
DeleteFile('c:\Temp\A3F7A215.sys');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\rwhIm9hsLM4.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\24109B\24109B.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Gesi\madiv.exe');
DeleteFile('C:\Documents and Settings\Администратор\cbzvl.exe');
DeleteFile('C:\Documents and Settings\Администратор\fswagz.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{017EFD62-FCB2-E94D-AB5E-F49AB7DA08CD}');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','GNU');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
DeleteService('A3F7A215');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.[/CODE]

[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]

[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

- Установите [URL="http://windows.microsoft.com/ru-RU/windows/help/learn-how-to-install-windows-xp-service-pack-3-sp3"]SP3[/URL] ([COLOR="#FF0000"]может потребоваться активация[/COLOR]), а также все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

Карантин прислал.

SP3 устанавливаться отказывается (Ошибка программы установки Пакет обновления 3: файл d:\...\i386\update\update.inf неправилен), все способы устранения данной ошибки (c cайта Майкрософта) испробовал - все равно не устанавливается.

Обновления для Windows не устанавливаются с сайта Microsoft (error 0x80248015 WU_E_DS_SERVICEEXPIRED An operation did not complete because the registration of the service has expired.)

MBAM лог:

[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:
[CODE]HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{D263FA6D-84CC-48A8-9AF6-C664362B7A5B} (Trojan.BHO) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D263FA6D-84CC-48A8-9AF6-C664362B7A5B} (Trojan.BHO) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Services\IBUpdaterService (PUP.InstallBrain) -> Действие не было предпринято.

C:\Documents and Settings\All Users\Application Data\IBUpdaterService\ibsvc.VIR (PUP.BundleInstaller.IB) -> Действие не было предпринято.
C:\System Volume Information\_restore{9E6C5723-46C7-4470-A64D-48AAD21F80AA}\RP1\A0001051.exe (Trojan.EOFail) -> Действие не было предпринято.

C:\Documents and Settings\LocalService\Local Settings\Temp\2F88.tmp (Exploit.Drop.GS) -> Действие не было предпринято.
C:\Temp\2F88.tmp (Exploit.Drop.GS) -> Действие не было предпринято.
C:\Program Files\Common Files\System\Uninstall\Uninstall A360.lnk (Rogue.AV360) -> Действие не было предпринято.
C:\Program Files\HSDiagram.dll (Spyware.OnlineGames) -> Действие не было предпринято.
C:\Documents and Settings\All Users\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.[/CODE]

Скачиваем [url]http://www.microsoft.com/ru-ru/download/confirmation.aspx?id=24[/url] и пробуем установить.

Удалил в MBAM указанные Вами файлы. После перезагрузки компьютера Windows запускается, но полностью отсутствует рабочий стол и панель задач (на экране только картинка рабочего стола). При этом в диспетчере задач процесс explorer.exe якобы функционирует.

[quote="2olegend;983176"]При этом в диспетчере задач процесс explorer.exe якобы функционирует.[/quote]
Если его снять и запустить заново как новую задачу?

[QUOTE=Techno;983213]Если его снять и запустить заново как новую задачу?[/QUOTE]

Ничего не даёт. Программы запускаются через Диспетчер задач-Выполнить, а вот рабочего стола нет.
Только недавно заметил - рабочий стол и панели самопроизвольно появляются через 15-20 мин. после загрузки Windows.
[QUOTE=Techno;983104]
Скачиваем [url]http://www.microsoft.com/ru-ru/download/confirmation.aspx?id=24[/url] и пробуем установить.[/QUOTE]
Все также не устанавливается на Windows это обновление, ошибка та же (Ошибка программы установки Пакет обновления 3: файл d:\...\i386\update\update.inf неправилен).

Да, забыл, вот лог сканирования после удаления указанных выше файлов MBAMом:

[quote="2olegend;983280"]Все также не устанавливается на Windows это обновление, ошибка та же (Ошибка программы установки Пакет обновления 3: файл d:\...\i386\update\update.inf неправилен).[/quote]
Код ошибки какой?

[QUOTE=Techno;983322]Код ошибки какой?[/QUOTE]

В конце этого лога лежит код ошибки:

- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].

[QUOTE=Techno;983379]- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].[/QUOTE]
Вот он:

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

После сканирования ComboFix рабочий стол и панели стали появляться более-менее нормально (почти через ~1,5 мин. после загрузки Windows).
Программы (браузеры и т.д.) теперь работают без ошибок.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

отставить!
Происходит перезагрузка сра3у после выбора строки системы, бе3опасн.режим тоже не помогает.

Не понял. Сначала работал потом стал перезагружаться?

Да. Последнее, что делалось - установка обновлений Windows при выключении (загружены были с помощью автоматического обновления) - 80 штук. Все установилось, компьютер выключился. Вот после этого и не грузится.

Безопасный режим загружается? Безопасный режим с поддержкой командной строки? Последняя удачная конфигурация? Еще там должен быть пункт - отключить автоматическую перезагрузку.

нет, ни один из них. Сразу экран гаснет и перезагрузка. Беда.

Такое есть?
[quote="Techno;983417"]Еще там должен быть пункт - отключить автоматическую перезагрузку.[/quote]

есть, эффект тот же.

А компьютер работал и вдруг выключился или как?

Я ж сказал - он работал, один раз перезагружал его - всё было нормально. Затем установил обновления, он выключился (штатно) - и с тех пор всё.

Вообще, если вы отключили автоматическую перезагрузку при отказе системы, то должен синий экран вылетать с ошибкой.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

А если синего экрана нет, то проблема не в системе, а всего скорее в аппаратной части. Перегрева нет?

Синего экрана нет.
Как идентифицировать перегрев?

[quote="2olegend;983538"]Как идентифицировать перегрев?[/quote]
Например программами aida (32 или 64), everest. Можно и в BIOS температуру посмотреть, но там будет результат температуру процессора без нагрузки.

В биосе не нахожу температуры, вообще нет вкладки power.
System bios version 1.30

А с LiveCD есть возможность загрузиться? Например с ERВ commander?

Попробую ERD commander,о результатах отпишусь.

Винда умерла - форматнул диск - поставил заново. Тему можно закрывать.
:to_take_umbrage:

всё равно рекомендую вам сменить пароли.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\application data\\gesi\\madiv.exe - [B]Trojan-Spy.Win32.Zbot.jlrz[/B] ( DrWEB: Trojan.DownLoader8.5817, BitDefender: Trojan.Generic.KDZ.10063, AVAST4: Win32:Malware-gen )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]