Виснет IE, не запускается Firefox, долго грузится...

Printable View

30.10.2007, 21:24
shkurko

Виснет IE, не запускается Firefox, долго грузится...

Компьютер - ноутбук DuoT2250

Установлено:
ad-watch
zone-alarm
norton-antivirus, NOD32
acronis os selector

проблемы:
- IE виснет уже на втором окне при поиске в Яндексе
- FireFox перестал запускаться после ошибочной попытки апдейта установленного firefox portable на обычный (после появления приглашения обновить программу ошибочно ткнул клавишу установить). Теперь пишет, что firefox уже запущен, но не отвечает (в процессах его нет). Деинсталяция прошла с ошибкой, после чистки реестра, удаления профилей, установки обычной (не портабл) версии, удаления ее и установки обратно портабл, проблема так и не решилась.
- При запуске icq она каждый раз пытается что-то прописать в реестр (сигналит адвоч) - это нормально?
- Пропала вторая операционная система, установленная при уже работающем acronis os selector eng. После деинсталяции acronis disk suiteENG и os selectorENG и последующей установки acronis disk suiteRUS и os selectorRUS последний не нашел ранее установленную на этот же физический диск, но на другом "виртуальном диске" (диск D:) операционную систему.
- Антивирусы Norton и NOD ничего не находят, а sdfix удалил два трояна.
- При запуске IE на рабочем столе появляется файл ntdll.dll который возможно удалить только после закрытия IE. После удаления при запуске IE появляется снова. Пропало несколько ярлыков на рабочем столе (правда возможно это результат чистки утилитами ccleaner/norton/sdfix/avz).
- при запуске XP появилось постороннее окно (перед выбором пользователя) с кракозябрами (что-то типа [II] ) и кнопкой ОК, при этом продолжить загрузку возможно только ткнув ОК. Это произошло уже давно, возможно после первой чистки avz и sdfix.
- Ну и, наконец, очень долго грузится, какие-то странные тайм-ауты при загрузке, когда уже появился рабочий стол, но еще не запустились все службы и элементы автозагрузки, и стоит чего-то ждет, при этом невозможно ничего запустить (все запущенные в этот промежуток времени приложения одновременно открываются по окончанию какого-то определенного тайм-аута 1-3 мин.)
- Прошу, посмотрите логи на предмет решения хоть каких-то из этих проблем.
30.10.2007, 22:20
V_Bond

выполните скрипт....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\DOWNLO~1\ACTIVE~1.OCX','');
QuarantineFile('C:\REMINDER\Reminder.exe','');
QuarantineFile('C:\windows\system32\DRIVERS\tunmp.sys','');
QuarantineFile('C:\Documents and Settings\SHKURKO\Рабочий стол\NTDLL.dll','');
QuarantineFile('C:\WINDOWS\system32\lich.exe','');
QuarantineFile('C:\WINDOWS\system32\RDPLicense\svchost.exe','');
DeleteFile('C:\WINDOWS\system32\lich.exe');
DeleteFile('C:\WINDOWS\system32\RDPLicense\svchost.exe');
BC_ImportAll;
BC_DeleteSvc('lich');
BC_DeleteSvc('UpdateSrv');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
два антивируса не много ?
30.10.2007, 22:30
drongo

Перед исполнением скипта:[b] Отключить антивирусы и adwatch[/b], нортон [b]удалить[/b]- всё равно старая версия и 2 антивируса и 2 файрвола- только лишние проблемы- как вы уже надеюсь убедились.
31.10.2007, 00:03
shkurko

[quote] QuarantineFile('C:\REMINDER\Reminder.exe','');[/quote]

Этой напоминалкой уже лет пять пользуюсь, принес ее еще с win98 :)

[quote] QuarantineFile('C:\WINDOWS\system32\RDPLicense\svchost.exe','');[/quote]

Этот вроде пофиксен уже месяц назад (следы остались)?

[quote]два антивируса не много ?[/quote]

Не могу определиться. Нортон обновляется сам, всегда свежая база и иногда даже что-то ловит. НОД еще ни разу ничего не перехватил за последние 4 мес. с момента установки, базы обновлять как-то непривычно (искать где-то), интерфейс а-ля доктор ВЭБ конца 90-х :)
31.10.2007, 00:23
V_Bond

где карантин и новые логи ?
31.10.2007, 01:29
shkurko

[quote=V_Bond;146342]где карантин и новые логи ?[/quote]
уже вот
Осталось только нортон снести и установить адекватную замену :)
31.10.2007, 01:48
V_Bond

выполните скрипт ...
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
DeleteFile('\SystemRoot\system32\DRIVERS\tunmp.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ....
C:\Documents and Settings\SHKURKO\Рабочий стол\NTDLL.dll - попробуйте найти и прислать по правилам ....
31.10.2007, 03:04
shkurko

[quote]C:\Documents and Settings\SHKURKO\Рабочий стол\NTDLL.dll - попробуйте найти и прислать по правилам ....[/quote]
Действовал вроде по инструкции. Через АВЗ попробовал сархивировать: avz*.dta архивируются в два файла, *.dat в один - *.ini . Ntdll.dll с рабочего стола, как я выяснил, невозможно заархивировать даже ручками если не закрыть IE. Заархивировал его вручную - отправляю.
31.10.2007, 04:12
shkurko

Это нормально, что AVZ в режиме сбора информации работает 30 секунд, а в режиме лечения 30 минут? Скрипт выполнил, высылаю логи.
31.10.2007, 08:52
Bratez

Присланный файл чистый.

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\rasl2tp.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[quote]Это нормально, что AVZ в режиме сбора информации работает 30 секунд, а в режиме лечения 30 минут? [/quote]
Да, т.к. в первом случае сканирование диска не производится.
Если предварительно очистить временные файлы IE, наверняка получится заметно быстрее.
31.10.2007, 15:32
shkurko

Файл отправил.

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

Кстати в каталоге firefoxportable лежит похожий файл NTDLL.dll. Если его удалить, он появляется вновь при попытке запуска firefox . Эти NTDLL.dll не имеют ничего общего с ntdll.dll в каталоге виндовс ни по виду ни по размеру. Название NTDLL.dll скопировал из названия файла на рабочем столе. Сразу не соображу, как посмотреть - может там Т русская? :)
31.10.2007, 15:35
Bratez

C:\WINDOWS\system32\DRIVERS\rasl2tp.sys - [b]Trojan-PSW.Win32.LdPinch.duq[/b]
Выполните скрипт в AVZ:
[code]begin
BC_DeleteFile('C:\WINDOWS\system32\DRIVERS\rasl2tp.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Зловредом был подменен системный файл, который теперь надо восстановить из дистрибутива. Сделать это можно в безопасном режиме.
31.10.2007, 15:59
shkurko

[quote=Bratez;146491]C:\WINDOWS\system32\DRIVERS\rasl2tp.sys
Зловредом был подменен системный файл, который теперь надо восстановить из дистрибутива. Сделать это можно в безопасном режиме.[/quote]
Можно немного поподробнее, я на 100 процентов уверен, что виндовс не обнаружит потерю и не попросит вставить диск с дистрибутивом :) Тем более, что Нортон уже пытался и долго плевался от диска с которого ставилась винда, говорил "не тот диск".
31.10.2007, 16:07
AndreyKa

Вложений: 1

Выложил для вас чистый файл.
31.10.2007, 16:15
shkurko

Спасибо, только не могу его забрать: при закачивании регетом скачивается attachment.php, эксплорером - пишет не могу открыть узел?
А винда, как я и предполагал, потери даже не заметила :(
31.10.2007, 16:18
AndreyKa

Выложил на [url]http://depositfiles.com/files/2217270[/url]
31.10.2007, 17:15
shkurko

после выполнения скрипта zonealarm обнаружил

1. и удалил C:\WINDOWS\system32\DRIVERS\HPZius.sys - [B]Trojan-PSW.Win32.LdPinch.duq[/B]
еще раньше обратил внимание, что все утилиты касающиеся принтера HP я удалил, а в процессах висит HPZius12.exe [B](и сейчас висит)[/B]

2. оставшуюся после удаления нортон антивируса папку карантина с 45 вирусами :О - удалил

3. и удалил c:\docum***\temp\avz_2388.tmp (Backdoor.Win32.HacDef.kc) Странное :) имя файла.

4. и удалил содержащее вирус содержание карантина avz

5. и удалил C:\WINDOWS\system32\ReinstallBackups\0016\DriverFiles\rimmptsk.sys ([B]Trojan-PSW.Win32.LdPinch.duq). [/B]Кстати в папке C:\WINDOWS\system32\ReinstallBackups\ еще кучка папок с похожими названиями. Помню этот файл искала винда, когда слетел драйвер встроенного MMC ридера .

6. прямо сейчас 14 вирусов в папке drivers\ ([B]Trojan-PSW.Win32.LdPinch.duq) [/B]несколько дней назад винда вываливалась с синим экраном смерти, а после перезагрузки сканировала и исправляла именно эти файлы) винда просит диск с дистрибутивом и ругается на имеющийся (с которго ставился, ну вы понимаете какой).
[B]Что делать?[/B]
31.10.2007, 17:28
Bratez

Где ж он раньше-то был, этот Zonealarm!

Придется видимо вручную разыскивать в дистрибутиве требуемые файлы, распаковывать и класть в нужные места... Ну или выполнить установку винды поверх вашей в режиме восстановления.
31.10.2007, 17:58
shkurko

Он меня при установке две недели назад шантажировал - говорил, удали нортон антивирус или проверять на вирусы не буду. Я ему тогда не поверил...

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=Bratez;146529]Ну или выполнить установку винды поверх вашей в режиме восстановления.[/quote]
Всегда считал, что 2000 последняя, в которой такое возможно.
31.10.2007, 20:39
shkurko

В общем пока не решилась ни одна проблема из шапки темы :(
Прикрепляю текущие логи.
Посмотрите, пожалуйста.
31.10.2007, 20:53
V_Bond

зловредного ничего в логах не вижу ....
вы выполняли совет Bratez ... ?
31.10.2007, 22:16
shkurko

[quote=V_Bond;146596]зловредного ничего в логах не вижу ....
вы выполняли совет Bratez ... ?[/quote]

Да, переустановил XP поверх, остались следующие проблемы из исходных.

Компьютер - ноутбук DuoT2250

Установлено:
ad-watch
zone-alarm
NOD32
acronis os selector

проблемы:

- При запуске icq она каждый раз пытается что-то прописать в реестр (сигналит адвоч) - это нормально?

- Это то что было
Пропала вторая операционная система, установленная при уже работающем acronis os selector eng. После деинсталяции acronis disk suiteENG и os selectorENG и последующей установки acronis disk suiteRUS и os selectorRUS последний не нашел ранее установленную на этот же физический диск, но на другом "виртуальном диске" (диск D:) операционную систему.
Это то, что стало:
Сообщение "не найдено ни одного диска"

- при запуске XP появилось постороннее окно (перед выбором пользователя) с кракозябрами (что-то типа [II] ) и кнопкой ОК, при этом продолжить загрузку возможно только ткнув ОК. Это произошло уже давно, возможно после первой чистки avz и sdfix.

- Ну и, наконец, очень долго грузится, какие-то странные тайм-ауты
31.10.2007, 22:54
AndreyKa

Удалите Ad-Watch и NOD32. Получше будет работать.
31.10.2007, 23:20
shkurko

[quote=AndreyKa;146631]Удалите Ad-Watch и NOD32. Получше будет работать.[/quote]
Если это юмор, то хоть смайлики ставьте.
ad-watch удалю, когда удостоверюсь, что zonealarm умеет блокировать запись в реестр. А NOD? Что-ж вообще без защиты остаться. Да, zone alarm сканирует и мониторит диск, но проверять файлы простым кликом правой кнопкой мыши он вроде не умеет...
31.10.2007, 23:35
V_Bond

это вполне серьезно ... нужен один антивирус ... и никак не больше ... и один фаервол ... а антиспаи вообще не актуальны при наличии нормального антивируса ....
01.11.2007, 00:47
shkurko

[quote=V_Bond;146638]это вполне серьезно ... нужен один антивирус ... и никак не больше ... и один фаервол ... а антиспаи вообще не актуальны при наличии нормального антивируса ....[/quote]
Так один и остался NOD (если не считать zone alarm seсurity suite 7.0 полноценным антивирусом). Посоветуйте "нормальный" антивирус. Мне казалось перебрал уже все. Сначала был досовый касперский, потом drWeb, с виндового AVP слез когда поставил XP , показалось, что под XP сильно подтормаживает, потом был Нортон, и недавно NOD. Что еще поставить?
01.11.2007, 00:54
V_Bond

zone alarm seсurity suite 7.0 -чем вас не устраивает ?
01.11.2007, 00:59
shkurko

[quote=V_Bond;146645]zone alarm seсurity suite 7.0 -чем вас не устраивает ?[/quote]
Английская версия, не разобрался, есть ли и если есть, как работает проверка файла а-ля из меню проводника (клик правой кнопкой по файлу и выбор из вывалившегося меню "проверка на вирусы с помощью..."). Не вижу возможности элементарно скопировать информацию из логов zonealarm :(

Да, забыл сказать, что ставил zonealarm в конфигурации "для чайников", может в режиме эксперта там все есть? Подскажите, пожалуйста, ссылки на последнюю русскую версию.

Думаю, тему можно считать исчерпанной, до начала лечения следующего компьютера. Всем большое спасибо за внимание, [B]особые благодарности V_Bond, drongo, Bratez, AndreyKa![/B]
22.02.2009, 02:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\rasl2tp.sys - [B]Trojan-PSW.Win32.LdPinch.duq[/B] (DrWEB: Trojan.PWS.LDPinch.2434)[*] c:\\windows\\system32\\drivers\\tunmp.sys - [B]Trojan-PSW.Win32.LdPinch.duq[/B] (DrWEB: Trojan.PWS.LDPinch.2434)[/LIST][/LIST]