После кряка не загружается комп ошибка Logon

Здраствуйте. Мне принесли компьютер который не грузит Windows.
Загрузка в нормальном режиме доходит до учетных записей потом компьютер перезагружается, при отключении перезагрузки в случае ошибок появляется следующий текст "STOP: c000021a {Fatal System Error} The windows Logon Process system process terminanted unexpectedly with a status of 0xc0000005 (0x00000000 0x00000000). The system has been hut down. Думал что проблема в winlogon и иже с ними, пробовал перенос с дистрибутивов файлов, консоль востановления, востановление системы, ремонт системы. Все проверено на вирусы наличие не установлено. После распросов когда это произошло, человек рассказал что перед этим устанавливал программы и использовал кряк. Кряк вроде без вирусов но когда я чуть просмотрел что в нем есть то нашел строчки " ny ti i lowara!". Похоже на то что он что то творит с библиотеками Windows. Очень прошу помочь т.к. мыслей по востановлению нет, систему переустановить возможности нет (есть программы которые переустановить невозможно). Возможно его можно разобрать и посмотреть что он творит, с заменой соответствующих файлов. Файл прилагается в rar.

Удалите файл из сообщения и пошлите его по ссылке "Прислать запрошенные файлы" в верху темы. Не хотите же Вы, чтобы и другие пострадали?

Удалите в папке %WINDIR% файла windows.txt и выполните [URL="http://virusinfo.info/showthread.php?t=1235"]правила оформления запроса[/URL].

3dSV-E_crack.exe_ - [b]not-virus:BadJoke.Win32.Delf.au[/b] - будет добавлено в детект со следующим обновлением.

Эта программка портит системный ключ
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\Shell
Переустановите Windows в режиме восстановления, если не знаете как восстановить ключ.

Создал в ключе реестра HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\ параметр Shell=Explorer.exe не помогло, компьютер продолжает выдавать ошибку. С диска с Win XP делал repair system, результат тот же. Сделал все логи. Подозреваю что эта программа портит что то еще возможно в библиотеках. Самому разобрать программу и посмотреть что она делает, нет возможности. Прошу помочь сроки поджимают. Спасибо.

Пофиксите в HijackThis:
[code]
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-611111193429} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {CT id=e codeBase=http://www.www2.p0rt2.com/files/epl56bf2.cab classid=clsid:33331111-1111-1111-1111-615111193427} -
[/code]
Деинсталлируйте ConnectionServices - это adware.
Более ничего вредоносного не просматривается.

Я бы рекомендовал переустановку Windows в режиме Обновления/Восстановления.

А какую ошибку выдает, все ту же?
Станно что нет файла iedkcs32.dll в папке C:\WINDOWS\system32
Перепишите его туда с другого компьютера.

Ошибка все та же один в один. Файл iedkcs32.dll на диске есть. Эта программа толи что то делает с реестром толи дописывает, повреждает библиотеки. Посмотреть бы что внутри нее. Переустановить систему нет возможности, много софта который невозможно переустановить. Возможно есть какие то решения проблемы. Спасибо.

[quote]много софта который невозможно переустановить[/quote]
Речь ведь идет о режиме Восстановления, а не о полной переустановке.
Как вариант, можно попробовать команду [b]sfc /scannow[/b], это более безопасно, а делает почти то же самое.

Пробовал команду /sfc ранее под безопасным режимом на поврежденной системе комманда не работает, пишет что то вроде нвозможно загрузить RPC сервер (точно не помню), служба RPC запущена. Я использовал repair system с установочного диска Win XP. adware удален. Возможно что то не то с реестром или записан какой то новый драйвер или библиотека, так как сист. файлы вроде бы заменены. С установочного диска Win XP утилита repair system заменяет ли системный файлы, библиотеки, драйвера?

Сделайте такой лог:
[url]http://virusinfo.info/showthread.php?t=10387[/url]
может что-то еще увидим.

Вот логи исследования системы. А есть ли возможность разобрать программу на каком нибудь языке? Спасибо.

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\Oreans.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\SysCFG.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\oreans32.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Пришлите карантин соглансно приложению 3 правил.

Файлы из карантина закачаны. Драйвер SysCFG.sys отсутствует в системе.

[size="1"][color="#666686"][B][I]Добавлено через 8 часов 34 минуты[/I][/B][/color][/size]

Есть ли какая нибудь программа для отслеживания того что делает вредоносное ПО с системой и реестром?

Oreans.sys и oreans32.sys -чистые

Всем спасибо. Проблема решена, logon ругался на один из драйверов. Стоит ли его высылать вам для анализа, и куда?

пришлите на всякий случай ...

Проблема в библиотеке Крипт ПРО CProCtrl.sys. Куда именно его выслать помещать ли в карантин? Как видно с такой проблемой уже сталкивались, даже на форуме офф. сайта программы есть такие темы. Что интересно библиотека должна находиться вроде как в %Program dir%\Crypto Pro\CSP\CProCtrl.sys а находилась она %win dir%\system\drivers\CProCtrl.sys. Интересно чем это может быть вызвано, действием вредоносной программы?

добавте в карантин AVZ вручную ... и пришлите по ссылке над темой ...

Почему то не добавляется не вручную, не скриптом!? Архивировал сам файл: "CProCtrl.zip", pass: "virus". Похоже что по неустановленным причинам портит или вызывает конфликт со стандартным при установке набором драйверов Windows. Как вариант возможно поврежадет эти: rdpwd.sys; vdmindvd.sys;

хороший экземпляр....
[QUOTE]CProCtrl.sys - Rootkit.Win32.Agent.oy
Детектирование файла будет добавлено в следующее обновление.[/QUOTE]

[QUOTE=Das Boot;152446]Как вариант возможно поврежадет эти: rdpwd.sys; vdmindvd.sys;[/QUOTE]
Пришлите и их, вдруг они не повреждены, а модифицированы

Архив отправил файл:"drivers.zip", pass:"virus"; Самое интересное что не чем не детектируется проверял nod32, avz, утилта DrWeb cureit.exe. После некоторых манипуляций с драйверами и библиотеками машина стала загружаться и с CProCtrl.sys который находится в %win dir%\system32\drivers\ без него КриптПро не работает. Чем именно опасен Rootkit.Win32.Agent.oy как его детектировать-лечить?

что- то мне кажется что это ложный детект ... драйвер то, в дистрибутиве кажется есть ... просто ведет себя как руткит .... есть у вас возможность прислать чистый ?

Архив отправлен файл: "Clean_libray.zip", pass: "virus". Файл CProCtrl.sys взят из рабочего каталога программы %program dir%\CProCtrl.sys, файл CProCtrl.sys.196F890F_A68F_4352_853F_7BC159B9589D вытащен из дистрибутива программы (переименовывать не стал). Если не подойдет установлю программу на другой машине и пришлю свежий установочный. В программе в закледке о библиотеках программы путь указан %program dir%\CProCtrl.sys она там есть. Без %win dir%\system32\drivers\CProCtrl.sys программа не работает. Что творит на машине Rootkit.Win32.Agent.oy, информации о нем не очень много как понял он портит настройки ОС?

файлы одинаковые ... касперский уже не детектит ... видимо ложное ... ну давайте еще чуть подождем ....

На машине ранее был обнаружен Worm.Sifiliz и успешно вылечен, но решить тогда проблему не удалсь. Возможно именно он закачал вредоносное ПО и повредил систему, а вовсе не ломалка. Хотя я думаю что эта проблема возникает именно из за CProCtrl.sys, читал на офф. форуме КрипПро что при установке программы вылетает сообщение BSOD - STOP: C000021a (КриптПро на этой машине был установлен давно), или все же повреждение драйверов-библиотек!

все же давайте подождем повторного анализа ....

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\3d_sexvilla_2_-_everlust_crack.rar - [B]Hoax.Win32.BadJoke.Delf.au[/B] (DrWEB: archive: Trojan.PWS.Maran)[/LIST][/LIST]