Explorer.exe не является приложением Win32

Всем доброго дня.

Ребята помогите с этой проблемой.

Ситуация такая. При очередном старте Windows XP,при загрузке, после приветствия, система сообщила об исключении, которое возбудило приложение explorer.exe. Ошибка вроде связана с указателем.

Были предприняты следующие действия которые не дали ни какого результата.

1. Компьтер загружен в безопасном режиме.

2. Загружен AVZ и выполнена проверка, а также выполнены пункты 8,9,16,17 из меня Востановление системы. Проверка не выявила каких либо серьезных проблем.

3. Перенесен с рабочего компьютера файл explorer.exe и помещен в папку c:\windows\ . При загрузке стало выдавать "explorer.exe не является приложением Win32".

4. Файл explorer.exe помещен в папку&nbsp;c:\windows\system32\ и изменена ветвь реестра&nbsp;<br>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon [SHELL=c:\windows\system32\explorer.exe].

5. Отключен автозапуск почти всего, за исключением служб которые точно не вирус.

6. Загружен антивирус DrWeb CureIt. И выполнена проверка в усиленом режиме. Тоже ничего не обнаружил.

В конце концов нашел ваш сайт )).Выполнил генерацию всех логов. Единственное мне не удалось подключиться в Сеть из безопасного режима. Просто нигде не описано как это сделать, не имея графической оболочки.

Помогите пожалуйста.

Уважаемый(ая) [B]HYura[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Documents and Settings\мастер\cbzvl.exe','');
DeleteFile('C:\Documents and Settings\мастер\cbzvl.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Обновите базы AVZ

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]

Добрый день

Выполнил скрипт.

Обновил базы путем копирования папки BASE с рабочего компьютера на котором проводилось обновление. В результате AVZ стал ругаться что базы повреждены. Скопировал содержимое папки Quarantin на рабочий компьютер и выполнил архивацию. Получившийся файл отправил через форму отправки карантина.

Полностью перенес AVZ с рабочего компьютера. Заработал нормально. Выполнил скрипты.

1. Откройте [b]Блокнот[/b] и скопируйте в него текст скрипта
[CODE]gm07r.exe -del service arqeioazk
gm07r.exe -del file "C:\WINDOWS\system32\kumlczly.dll"
gm07r.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\arqeioazk"
gm07r.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\arqeioazk"
gm07r.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\arqeioazk"
gm07r.exe -reboot[/CODE]2. Нажмите [b]Файл[/b] - [b]Сохранить как[/b]
3. Выберите папку, в которую сохранили [b]gm07r.exe[/b] (gmer)
4. Укажите [b]Тип файла[/b] - [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]cleanup.bat[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите [b]cleanup.bat[/b]

[color="red"][b]ВНИМАНИЕ:[/b][/color] Компьютер перезагрузится!!!

Сделайте новый лог gmer

Добрый день.

При старте созданного пакетного файла возникла ошибка удаления сервиса. Все остальные команды выполнились успешно. Далее при выполнении логирования GMER произошел общий сбой защиты Windows. После этого компьютер перестал загружаться. Осмотр БИОС показал что информация о HDD частично стерта, а частично HDD поменялись местами в списке загрузки. Востановление порядка привело к успешной загрузке в безопасном режиме. Это уже второй случай когда во время логирования происходит такое. В первый раз я решил что возможно где то накосячил, при выполнении рекомендаций. Но сейчас это точно происки врагов )). Второй раз лог создался нормально.

В логе порядок

Но explorer.exe все равно не грузится. Сообщение то же - 'Не является приложением Win32' Что еще можно предпринять?

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url].

Не получилось деактивировать сканер Avira. Но ComdoFix сказал что запускать можно на свой страх и риск, так что я выполнил данную проверку. Но он похоже тоже ни чего не нашел хотя папка с карантином имеется.

Попробуйте в [URL="http://virusinfo.info/showthread.php?t=9279"]безопасном режиме[/URL].

Абсолютно все действия выполняются в безопасном режиме. Удаление Avira производилось согласно инструкции размещенной на офф сайте. Дополнительно был вычищен реестр спец утилитой от Avira. Но сканер все равно в системе и его естественно не видно в процесах.

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url].

Размер получившегося файла в ZIP архиве ~2.7Mb. Не получается его загрузить через менеджер управления вложениями, т.к. сильно большой. Как загрузить?

На Rghost.ru и ссылку сюда.

Отправил но чего то не вижу. Повтор - rghost.ru/48982254

В образе в конце какой-то мусор прописан, он даже не открылся. Переделайте, пожалуйста.

Вот новый [url]http://rghost.ru/48987207[/url]. У меня почему-то с первого раза не выходит отправить сообщение в тему. Говорит -спасибо администрация проверит, а потом ничего.

Супер :>
[QUOTE]Полное имя C:\WINDOWS\EXPLORER.EXE
Имя файла EXPLORER.EXE
Тек. статус ИЗВЕСТНЫЙ ПРОВЕРЕННЫЙ в автозапуске

Оригинальное имя EXPLORER.EXE
Версия файла 6.0.6000.16386 ([B][COLOR="#FF0000"]vista_rtm.061101-2205[/COLOR][/B])
Версия продукта 6.0.6000.16386
Описание Windows Explorer
Продукт Microsoft® Windows® Operating System
Copyright © Microsoft Corporation. All rights reserved.
Производитель Microsoft Corporation[/QUOTE]
Надо же было заменять файлом с той же версии системы. Возьмите [URL="http://rghost.ru/48989605"]EXPLORER.ZIP[/URL] для XP SP3, распакуйте в папку C:\WINDOWS с заменой.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

exec MsiExec.exe /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216020FF}
delref HTTP://WEBALTA.RU
delref HTTP://WEBALTA.RU/SEARCH
regt 12
deltmp
restart[/code]Компьютер перезагрузится.

[url="http://virusinfo.info/showpost.php?p=493610&postcount=2"]Удалите ComboFix[/url].

Сделал. В результате при страте начало выдавать исходное ошибочное сообщение:
"Ошибка при инициализации приложеня (0xc0000005). Для выхода нажмите ОК"

Combofix удалять или пускай еще побудет?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

А, и еще забыл - explorer.exe был скачан с такой же точно Windows XP SP2.

[quote="HYura;1043122"]Combofix удалять или пускай еще побудет?[/quote]
Удалять.

[quote="HYura;1043122"]А, и еще забыл - explorer.exe был скачан с такой же точно Windows XP SP2.[/quote]
У Вас [QUOTE]Platform: Windows XP SP3 (WinNT 5.01.2600)[/QUOTE]

Скачайте и замените [url]http://rghost.ru/48998485[/url] на эту версию.

Отпишитесь что с проблемой.

Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL]

Обновлений ОС, недавно не было ?

Новый полный образ автозапуска uVS сделайте.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[QUOTE=HYura;1043122]Combofix удалять или пускай еще побудет?[/QUOTE]

Сделайте лог ComboFix новый.

[QUOTE=HYura;1043122]А, и еще забыл - explorer.exe был скачан с такой же точно Windows XP SP2.[/QUOTE]

Надо было SP3. А судя по образу автозапуска он у Вас от Висты.

Уважаемые есть еще идеи? Или уже можно переходить к плану Б.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Ой извиняюсь. Я че то ответов не видел. Сенкс щас буду делать.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Замена explorer.exe не привела к измениям.

Создал лог RSIT.
Создал лог uVS.
Создал лог Combofix (урезанный режим функционирования).

http://rghost.ru/private/49085930/1a43e5a4092a72fe4ac1aa79b794086b

Рекомендации будут? Или я опять сообщений не вижу?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Ага нет сообщений. Тогда жду.

1. Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\I8711NQO.EXE','');
QuarantineFile('c:\windows\explorer.ex_','');
QuarantineFileF('c:\progra~1\smwdgt', '*', true, ' ', 0, 0);
DeleteFileMask('c:\progra~1\smwdgt', '*', true, ' ');
DeleteDirectory('c:\progra~1\smwdgt');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

Сделайте новые логи AVZ, RSIT

Сделайте лог GMER ([url]http://virusinfo.info/showthread.php?t=40118[/url])

Извиняюсь за длительное отсутствие. Вот логи

Люди че делать?

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте НОВЫЙ полный образ автозапуска uVS[/url].

Вот:

[url]http://rghost.ru/private/49364827/4f988e08ae6b5eb87751f8f096dc9970[/url]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref %SystemDrive%\DOCUMENTS AND SETTINGS\МАСТЕР\APPLICATION DATA\FUNSPACE\VKMUSICUPD\FUNSPACE.UPDATE.PROCESS.EXE
delref HTTP://WEBALTA.RU/POISK
exec MsiExec.exe /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216020FF}
deltmp
restart[/code]Компьютер перезагрузится.

Скачайте и запустите TDSSKiller: [url]http://support.kaspersky.ru/faq/?qid=208636926[/url].
Если программа выдаст предупреждение на файл WINDOWS\system32\Drivers\sptd.sys - не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)

А это ничего что при скачивании файла TDSSKiller антивирус Avira ругается на него: "вирус или вредоносная программа TR/Crypt.ULPM.Gen". Базы правда не обновленные.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Вот лог:

Чисто.
Что там с Explorer.exe творится - по логам понять не удаётся.

Ребята всем спасибо за помощь. Как только появится техническая возможность поблагодарю проект. Хоть проблему решить и не удалось, но такой сайт очень нужен.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]