Комп постоянно перезагружается и требует проверку диска

Printable View

Показывать 40 сообщений этой темы на одной странице

14.12.2007, 22:24
Natrix

Комп постоянно перезагружается и требует проверку диска

Если при загрузке не пропустить проверку диска, то через пару минут работы компьютер перезагружается.
Были глюки с панелью задач. Зависал эксплорер при загрузке яндекса. Отключался брандмауэр. Постоянно появляется желтый треугольник на панели задач и сообщение, что какой-нибудь файл поврежден. Помогите!!!
14.12.2007, 22:36
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\1F.tmp','');
QuarantineFile('C:\1B.tmp','');
QuarantineFile('C:\9.tmp','');
QuarantineFile('C:\14.tmp','');
QuarantineFile('C:\B.tmp','');
QuarantineFile('C:\1.tmp','');
QuarantineFile('C:\WINDOWS\system32\deviceemulator.exe','');
QuarantineFile('C:\WINDOWS\system32\makehm.exe','');
QuarantineFile('C:\WINDOWS\system32\ndetect.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\c++.exe','');
QuarantineFile('C:\WINDOWS\ntfyapp.exe','');
DeleteService('asc3550p');
QuarantineFile('c:\sysgvci.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Kwkc56.sys','');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Kwkc56.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\1.tmp');
DeleteFile('C:\B.tmp');
DeleteFile('C:\14.tmp');
DeleteFile('C:\9.tmp');
DeleteFile('C:\1B.tmp');
DeleteFile('C:\1F.tmp');
BC_DeleteSvc('asc3550p');
BC_DeleteSvc('Kwkc56');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
14.12.2007, 22:39
rubin

Выполните скрипт и полученный карантин пришлите по п.3 Правил
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Y56JW9GN\211[1].exe','');
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0VW3YBUV\211[2].exe','');
QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0VW3YBUV\211[1].exe','');
QuarantineFile('C:\1F.tmp','');
QuarantineFile('C:\1B.tmp','');
QuarantineFile('C:\9.tmp','');
QuarantineFile('C:\14.tmp','');
QuarantineFile('C:\B.tmp','');
QuarantineFile('C:\1.tmp','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\ndetect.exe','');
QuarantineFile('C:\WINDOWS\system32\makehm.exe','');
QuarantineFile('C:\WINDOWS\system32\deviceemulator.exe','');
QuarantineFile('C:\WINDOWS\system32\7z.exe','');
QuarantineFile('C:\WINDOWS\system32\c++.exe','');
QuarantineFile('C:\WINDOWS\ntfyapp.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Kwkc56.sys','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\Y56JW9GN\211[1].exe');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0VW3YBUV\211[2].exe');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\0VW3YBUV\211[1].exe');
DeleteFile('C:\1.tmp');
DeleteFile('C:\B.tmp');
DeleteFile('C:\14.tmp');
DeleteFile('C:\9.tmp');
DeleteFile('C:\1B.tmp');
DeleteFile('C:\1F.tmp');
BC_ImportAll;
BC_QrFile('c:\sysgvci.exe');
BC_QrFile('C:\Program.exe');
BC_QrFile('C:\Documents and Settings\Users\nax.exe');
BC_DeleteFile('c:\sysgvci.exe');
BC_DeleteFile('C:\Program.exe');
BC_DeleteFile('C:\Documents and Settings\Users\nax.exe');
BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteSvc('helpsvc');
BC_DeleteSvc('lanmanworkstation');
BC_DeleteSvc('mnmsrvc');
BC_DeleteSvc('MySQL');
BC_DeleteSvc('PolicyAgent');
BC_DeleteSvc('ProtectedStorage');
BC_DeleteSvc('RasMan');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
14.12.2007, 22:45
Natrix

Выполнила скрипт от V_Bond и отправила карантин.
Второй скрипт тоже выполнять? Увидела его уже после.
14.12.2007, 22:56
V_Bond

выполните хуже не будет ...
14.12.2007, 23:04
Natrix

Выполнила, отправила карантин еще раз. Он оказался гораздо больше :huh:
14.12.2007, 23:27
V_Bond

C:\1.tmp -TR/Crypt.XPACK.Gen
C:\B.tmp TR/Crypt.XPACK.Gen
C:\14.tmp TR/Crypt.XPACK.Gen
C:\9.tmp TR/Crypt.XPACK.Gen
C:\1B.tmp TR/Crypt.XPACK.Gen
C:\1F.tmp TR/Crypt.XPACK.Gen
C:\WINDOWS\system32\ntos.exe DR/Delphi.Gen
C:\WINDOWS\ntfyapp.exe Trojan.Peed.IQC
C:\WINDOWS\system32\makehm.exe TR/Crypt.FKM.Gen
C:\WINDOWS\system32\c++.exe TR/Crypt.FKM.Gen
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Kwkc56', 'Start');
DeleteFile('C:\WINDOWS\ntfyapp.exe');
DeleteFile('C:\WINDOWS\system32\makehm.exe ');
DeleteFile('C:\WINDOWS\system32\c++.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
повторите логи ...
14.12.2007, 23:55
Natrix

Новые логи.
Постоянно появляется предупреждение: windows\system32\drivers\utg4mri1.sys файл поврежден и не может быть прочитан.
15.12.2007, 00:04
V_Bond

выполните скрипт ...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\utg4mzi1.sys','');
QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
15.12.2007, 00:15
Natrix

Отправила. Сообщение появляется все равно. Скрипт написал, что выполнен без ошибок, но в окне отчета виднелись красные надписи Ошибка.
15.12.2007, 04:20
Bratez

C:\WINDOWS\TEMP\winlogon.exe - [b]Trojan.Win32.Pakes.bty[/b] (уже д.б. удален).

Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - C:\Documents and Settings\Users\Application Data\Mra\Update\mrasearch.dll (file missing)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\i386kd.exe,
[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\i386kd.exe','');
QuarantineFile('C:\WINDOWS\system32\sessmgr.exe','');
DeleteFile('C:\WINDOWS\system32\i386kd.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите новый карантин.

[quote]Если при загрузке не пропустить проверку диска, то через пару минут работы компьютер перезагружается.[/quote]
Перезагружается в процессе проверки диска? Видимо у вас серьезное повреждение файловой системы и/или сбойные кластеры на жестком диске. Попробуйте несколько раз подряд предоставить компьютеру возможность выполнить проверку, пусть себе перезагружается. Следите за процентами в процессе проверки. Если сбой происходит каждый раз на одном месте и ситуация не меняется, скорее всего вам придется вызвать специалиста или отнести жесткий диск в мастерскую для устранения проблемы.
15.12.2007, 12:14
Natrix

C:\WINDOWS\TEMP\winlogon.exe - [B]Trojan.Win32.Pakes.bty[/B] (уже д.б. удален).
Да, такого файла нет. Но есть 150 файлов вида ib11. Практически все они нулевого размера. Их можно удалить?

Карантин отправила.
Компьютер перезагружается не во время проверки диска, а после полной или почти полной загрузки. Мне здесь посоветовали проверить диск программой [URL="http://files.hddguru.com/index.php?&direction=0&order=&directory=Software/HDDScan"][COLOR=black]HDDScan[/COLOR][/URL]. Bad секторы на диске не обнаружены.

Вспомнила еще. Во время всей этой атаки у меня "умер" Др.Веб. Пришлось его переустанавливать. Скажите, он настолько плох, что не только пропустил все эти вырусы, но и сам пострадал? Проверка диска Др.Вебом вирусов не обнаружила.
Можно ли вообще понять когда и откуда вирусы проникли, чтоб туда больше не заходить :smile:

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 24 минуты[/I][/B][/color][/size]

Совсем караул какой-то :blink:
Упал MySQL сервер, не знаю что делать. Стала смотреть папку куда он установле. В каталоге bin нашла странный файл _install.exe дата создания 14.12.2007 (вчера) 20:49, размер 135168 байт. Задала его в поиск. В результате на диске С в разных папках (в основном в windows, program files, documents and settings) нашлось [B]144 [/B](!) копии этого файла. Что это? И что делать?:help::pray:
15.12.2007, 12:19
V_Bond

во первых сделать новые логи ...
во вторых не лазить по подозрительным ресурсам ....
15.12.2007, 12:34
Natrix

Вот новые логи. Уже нет места для их загрузки.
15.12.2007, 12:44
V_Bond

пофиксите ...
[code]
O4 - HKCU\..\Run: [ntfyapp] C:\WINDOWS\ntfyapp.exe
[/code]
выполните скрипт ...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\utg4mzi1.sys','');
DeleteFile('C:\WINDOWS\ntfyapp.exe');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
15.12.2007, 13:14
Natrix

Все сделала.
15.12.2007, 13:16
Natrix

Не могу добавить еще один лог.
Что значит: Файл вкладывается в сообщение. ?
15.12.2007, 13:33
V_Bond

в логах похоже чисто .... какие проблемы остались ... ?
15.12.2007, 13:36
Natrix

вот
15.12.2007, 14:17
Natrix

Проверка диска прошла, вроде не перезагрузился. Остался неработающий MySQL сервер :(
И что делать с теми 144 файлами?
15.12.2007, 14:20
V_Bond

_install.exe -пришлите поправилам ....
15.12.2007, 14:21
Макcим

[QUOTE=Natrix;160877]Остался неработающий MySQL сервер :([/QUOTE]Последствия [URL="http://virusinfo.info/showpost.php?p=160748&postcount=3"]скрипта[/URL], от которого не должно быть хуже. Поможет переустановка MySQL.
15.12.2007, 14:42
Natrix

Отправила одну копию файла из 144 :biggrinsanta:
15.12.2007, 14:57
V_Bond

_install.exe -Trojan.Packed.252 удаляйте ...
и выполните пункт 2 правил ....
15.12.2007, 15:10
Natrix

Удалила.

[quote=V_Bond;160890]и выполните пункт 2 правил ....[/quote]
Не смотря на то, что у меня Др.Веб?
15.12.2007, 15:13
V_Bond

а он у вас обновляется ? не похоже ...
15.12.2007, 15:17
Natrix

Странно... Регулярно пишет: вирусные базы обновлены.
15.12.2007, 15:19
V_Bond

ничего не помаю ... вы проводили полное сканирование ? версия у вас какая ?
15.12.2007, 15:28
Bratez

Др.Веб, говорите? А как вам такой факт, что вместо системной службы sessmgr.exe у вас не что иное как [b]Trojan-Downloader.Win32.Small.hdl[/b]?? Попутно, извиняюсь, вопрос коллегам - карантин для А.С.Пушкина присылается? Вот эти скорее всего тоже не родные:
[code]
O23 - Service: Локатор удаленного вызова процедур (RPC) (RpcLocator) - Unknown owner - C:\WINDOWS\system32\locator.exe
O23 - Service: RSVP - Unknown owner - C:\WINDOWS\system32\rsvp.exe
O23 - Service: Смарт-карты (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Журналы и оповещения производительности (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: VSS - Unknown owner - C:\WINDOWS\System32\vssvc.exe
[/code]
Сейчас напишу далее...

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Давайте всех "ненаших" соберем, чтоб уж наверняка:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\vssvc.exe','');
QuarantineFile('C:\WINDOWS\system32\tlntsvr.exe','');
QuarantineFile('C:\WINDOWS\system32\smlogsvc.exe','');
QuarantineFile('C:\WINDOWS\System32\SCardSvr.exe','');
QuarantineFile('C:\WINDOWS\system32\rsvp.exe','');
QuarantineFile('C:\WINDOWS\system32\locator.exe','');
QuarantineFile('C:\WINDOWS\system32\netdde.exe','');
QuarantineFile('C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe','');
QuarantineFile('C:\WINDOWS\system32\clipsrv.exe','');
QuarantineFile('C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин по правилам.
15.12.2007, 19:11
Natrix

Карантин отправлен. Др.Веб чего-то обнаружил и вроде вылечил.

[size="1"][color="#666686"][B][I]Добавлено через 40 секунд[/I][/B][/color][/size]

По крайней мере перестал требовать проверку диска.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Вспомнила еще проблему. Не снималась галочка отключения восстановления системы.
15.12.2007, 19:44
V_Bond

в карантине .....
C:\WINDOWS\System32\vssvc.exe [B]TR/Crypt.XPACK.Gen[/B]
C:\WINDOWS\system32\smlogsvc.exe [B]TR/Crypt.XPACK.Gen[/B]
C:\WINDOWS\system32\tlntsvr.exe [B]TR/Crypt.XPACK.Gen[/B]
C:\WINDOWS\System32\SCardSvr.exe [B]TR/Crypt.XPACK.Gen[/B]
C:\WINDOWS\system32\locator.exe [B]TR/Crypt.XPACK.Gen[/B]
C:\WINDOWS\system32\netdde.exe [B]W32/Malware[/B]
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [B]TR/Crypt.XPACK.Gen[/B]
sessmgr.exe [B]Trojan-Downloader.Win32.Small.hdl[/B]
C:\WINDOWS\system32\clipsrv.exe [B]Gen W32/Malware[/B]
нужно менять на чистые ....
15.12.2007, 20:06
Natrix

Как это сделать? Простите, но в этих вопросах я не разбираюсь :(

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Сделала проверку системного диска. Обнаружено 12 зараженных объектов. Просто удалить их из Др.Веба?

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Плюс еще все что в папках avz/infected и avz/quarantine/
15.12.2007, 20:17
V_Bond

нужно сделать проверку всех дисков на компьютере ....
перепешите нужные файлы с другого (заведомо чистого) компьютера ... и перезапишите их на место подмененных (операцию проводите в safe mode)
15.12.2007, 20:26
Natrix

То есть сначала все проверить, удалить все что найдет, потом перезаписать файлы? Или наоборот? :rolleyes:
15.12.2007, 20:30
V_Bond

лучше так ...
16.12.2007, 13:25
Natrix

Всех заменила. Что дальше?
16.12.2007, 13:51
Bratez

Сделайте логи еще раз, будем надеяться - последний :)
16.12.2007, 15:40
Natrix

Вот они. Что есть подозрение на Email-Worm.Win32.Warezov.ra?
16.12.2007, 15:50
V_Bond

выполните скрипт ....
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\pdbcopy.exe','');
QuarantineFile('C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\protect.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
BC_DeleteSvc('symavc32');
BC_DeleteSvc('protect');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ..
16.12.2007, 16:03
Natrix

Карантин отправлен.

Показывать 40 сообщений этой темы на одной странице