слетели службы XP, не ставятся антивирусы [Rootkit.Win32.Necurs.jc ]

Очень прошу помощи!! Началось с вируса. Троян и руткиты. Стоял Microsoft Security Essentials - он и поймал, удалил. Сделала быструю проверку, перегрузила - слетела с антивируса защита в режиме реального времени. в службах XP - служба "Автоматического обновления" вообще отсутствует, через ftp вирус пробрался на хостинг. пробовала Not-32 - не ставится, avast - ставится, запускается, но не работает. Security пробовала по всякому - защита в режиме реального времени не появляется. AVPTool - один раз запустился, нашел букет, потом - ни в какую. Вирус . в общем беда да и только.
да, в инструкции сказано должно быть 3 файла - у меня virusinfo_syscure.zip не появляется, все по инструкции делала... сразу syscheck.zip

Уважаемый(ая) [B]miraland[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Drivers\777f3568d1e00bf5.sys','');
QuarantineFile('C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev\ijow.exe','');
DeleteFile('C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev\ijow.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Ijow');
DeleteFileMask('C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev', '*', true, ' ');
DeleteDirectory('C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(false);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Полученный архив [b]quarantine.zip[/b] из папки с распакованной утилитой AVZ отправьте согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis[/URL] (некоторые строки могут отсутствовать).

[CODE]
O4 - HKCU\..\Run: [Ijow] "C:\Documents and Settings\user-pc\Local Settings\Temp\Ajteev\ijow.exe"
[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST=1][*]Загрузите GMER по одной из указанных ссылок:
[B][URL="http://www.gmer.net/download.php"]Gmer со случайным именем[/URL][/B] [I](рекомендуется)[/I], [B][URL="http://www.gmer.net/gmer.zip"]Gmer в zip-архиве[/URL][/B] [I](перед применением распаковать в отдельную папку)[/I][*][B]Временно[/B] отключите драйверы эмуляторов дисков.[*]Запустите программу (пользователям [I]Vista/Seven[/I] запускать от имени [B]Администратора[/B] по правой кнопке мыши).[*]Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите [B]No[/B].[*]После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

[LIST][*][B][COLOR="Blue"]Sections[/COLOR][/B][*][B][COLOR="Blue"]IAT/EAT[/COLOR][/B][*][B][COLOR="Blue"]Show all[/COLOR][/B][/LIST][*]Из всех дисков оставьте отмеченным только системный диск (обычно [B]C:\[/B])[*]Нажмите на кнопку [B]Scan[/B] и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите [B]OK[/B].[*]После окончания проверки сохраните его лог (нажмите на кнопку [B]Save[/B]) и вложите в сообщение.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Выполнила 2 первых скрипта. получила файл карантина guarantine.zip - не смогла загрузить через "прислать запрошенный карантин" - ответ:
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен.
????

Выполняйте остальное. В карантин ничего не попало.

По порядку:
1. Выполнила в AVZ скрипты, сохранился quarantine.zip, но отправить его я так и не смогла. С тем же результатом - Результат загрузки
Ошибка загрузки. Данный файл уже был загружен.
2. Пофиксить в HiJackThis не удалось - такой строки нет. Повторные логи сделала все равно: по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)"
3. Загрузила Grem со случайным именем. отключила драйверы, запустила программу - комп ругнулся - как именно - сделала скрин grem1.jpg
4. Лог Grem получился.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

кстати, интересное дело - я изменила название файла карантина, который не отправлялся - результат тот-же. Система его не пропускает. -
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

Сохраните приведённый ниже текст в файл [b]cleanup.bat[/b] в ту же папку, где находится 7p8gmebc.exe случайное имя утилиты (gmer)
[CODE]
7p8gmebc.exe -del service 777f3568d1e00bf5
7p8gmebc.exe -del file "C:\WINDOWS\System32\Drivers\777f3568d1e00bf5.sys"
7p8gmebc.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\777f3568d1e00bf5"
7p8gmebc.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\777f3568d1e00bf5"
7p8gmebc.exe -reboot
[/CODE]
И запустите сохранённый пакетный файл [b]cleanup.bat[/b].

Внимание: Компьютер перезагрузится!

Сделайте новый лог gmer.

все сделала запустила сохранённый пакетный файл cleanup.bat. - и комп стал ругаться. скрин отсылаю. Компьютер не перезагружался.
лог gmer я на всякий случай все равно сделала - в приложении

GMER не справляется. Сделайте лог TDSSKiller.

[LIST=1][*]Скачайте архив [url=http://support.kaspersky.ru/downloads/utils/tdsskiller.zip]TDSSKiller.zip[/url] и распакуйте его в отдельную папку;[*]Запустите файл [B][I]TDSSKiller.exe[/I][/B].[*]Нажмите кнопку "[b]Начать проверку[/b]". Не меняйте настройки сканирования по умолчанию.[*]В процессе проверки могут быть обнаружены объекты двух типов:[list][*]вредоносные (точно было установлено, какой вредоносной программой поражен объект);[*]подозрительные (тип вредоносного воздействия точно установить невозможно).[/list][*]По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.[*]Для вредоносных объектов утилита автоматически определяет действие: [b]Лечить[/b] или [b]Удалить[/b].[*]Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию [b]Пропустить[/b]).[*][B][COLOR="Red"]Самостоятельно без указания консультанта ничего не удаляйте!!![/COLOR][/B][*]После нажатия кнопки [b]Продолжить[/b] утилита выполняет выбранные действия и выводит результат.[*]Прикрепите лог утилиты к своему следующему сообщению[/list]По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: [i]ИмяУтилиты.Версия_Дата_Время_log.txt[/i]
Например, [i]C:\TDSSKiller.2.4.7_23.07.2010_15.31.43_log.txt[/i]

готово. у меня получилось 2 лога - отсылаю оба. и варианта "Лечение" не было. или убить, или карантин. я поставила карантин.

1. Найдите в корне системного диска (обычно это диск [i]C:[/i]) папку [b][i]TDSSkiller_Quarantine[/i][/b];
2. Запакуйте эту папку в архив с паролем "[B]virus[/B]";
3. Полученный архив отправьте согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

Запустите еще раз TDSSKiller для объекта C:\WINDOWS\System32\Drivers\777f3568d1e00bf5.sys выберите удаление (Delete). После удаления и перезагрузки сделайте новый лог TDSSKiller.

готово. файл карантина тоже отправился.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

и "любимый" svchost тут же принялся грузить проц на 100%...

Сделайте новый лог GMER

что я могу сказать... все как бы стало на места. автообновление, смогла поставить анитвирус винды, он даже "позеленел" - потом пошла за логом gmer. снесла антивирус, отключила драйвера, отключила брандмауэр, перегрузила, запустила Gmer - он без глюков запустился, ничего не нашел на первом этапе, я поставила галку на диске С:\. долго работал, а потом снес мне систему.
появился синий экран с текстом
ошибка KERNEL_STACK_INPAGE_ERROR
че с этим делать - я точно не знаю. :(
внизу еще код был 0хС0000007

винда начинает грузится, появляется заставка с надписью Windows и бегающей строкой и на этом все. дальше загрузка не идет.

В безопасном режиме компьютер грузится?

комп загрузился в обычном режиме. я его включила - и оставила. он минут за 30-40 таки загрузился. пробовала перегрузить - очень тормозит, причем весь. на загрузку может уйти минут 5-10. и все действия ну очень медленны..

Сделайте лог [url="http://www.freedrweb.com/cureit/"]DrWebCureit[/url]. Лог запакуйте в архив и прикрепите.

+ Когда просканируете CureIt он найдёт заражённый драйвер
[CODE]C:\WINDOWS\System32\Drivers\777f3568d1e00bf5.sys[/CODE]
и предложит его вылечить, согласитесь с этим.

После этого сделайте новый лог TDSSkiller

лог DrWebCureit готов

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

лог TDSSkiller . сейчас перегружусь, повторю еще раз.
у меня не прикрепляется этот лог.
а в менеджере вложений есть способность удалять лишнее?
Написано: Загруженные файлы которые не используются будут удалены в течении часа - а у меня там файлы болтаются с 2010 года. как его самостоятельно очистить?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

лог TDSSkiller . сейчас перегружусь, повторю еще раз.
у меня не прикрепляется этот лог.
а в менеджере вложений есть способность удалять лишнее?
Написано: Загруженные файлы которые не используются будут удалены в течении часа - а у меня там файлы болтаются с 2010 года. как его самостоятельно очистить?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

таки справилась со вложениями, прошу прощения за бестолковость

Кажется добили руткит. :)

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

может руткит и добили.. комп при перезагрузке после TDSSkiller (опять на заставке винды повис на 5 минут) стал ругаться на диск Д и его не одолел. повис на 5 пункте синего экрана без признаков жизни. перегружала 2 раза - результат тот же. в безопасном режиме тоже не грузится. полчаса ждала - не расчехлился. появляется только мигающая точка в углу экрана и все.
может все таки еще не совсем капец котёнку??? (спросила она таак жалобно)
я набрала все, что пишет комп мне. прикрепила

уфф. сама себе напоминаю правило армейцев: не спеши выполнять приказ, придет другой, который отменит первый...
за 2,5 часа "0" в последней строке сменился на "1" ...???

Отчет который вы прикрепили там видно что компьютер начал проверять диск на наличие ошибок. Можно отменить эту проверку нажав на кнопку Esc. Также попробуйте выполнить загрузку последней удачной конфигурации Windows.

[b]miraland[/b], ничего не нажимайте и дождитесь окончания этой проверки. Когда пройдёт все пять этапов компьютер должен загрузиться.

+ сделайте вот [URL="http://safezone.cc/threads/kak-vypolnit-proverku-zhestkogo-diska-s-pomoschju-victoria.23276/"]такую проверку диска [/URL]- это тоже будет долго.

спасибо, я так и сделала. оставила комп на ночь. к утру закончил проверку диска D. рекомендацию выполню. логи сделала, TDSSKiller тоже ничего не нашел.
из текущего анамнеза - все подвисает здорово. видео, звук очень прерывистый. слетели бывшие настройки винды - не прошла проверку подлинности, исходников не осталось.
от руткита похоже следов не осталось, одно несварение желудка винды на лицо....
Ребята - вы почти Боги, что такое делаете!
Осталась самая малость - как-то вернуть комп к нормальной жизни. сама не справлюсь

[LIST=1][URL="http://safezone.cc/threads/2065"]Создайте новую точку восстановления[/URL][LIST][*]Нажмите [B]Пуск - Программы – Стандартные – Служебные – Восстановление системы[/B], выберите [B]Создать точку восстановления[/B], нажмите [B]Далее[/B], введите имя точки восстановления и нажмите [B]Создать[/B].[/LIST]

[*]Скачайте [B]Windows Repair (all in one)[/B] с [URL="http://www.tweaking.com/content/page/windows_repair_all_in_one.html"]этой страницы[/URL][*]Установите программу и запустите ее.[*]Перейдите на вкладку [B]Step 2[/B] и запустите проверку диска нажатием кнопки [B]Do It[/B] - [B]Компьютер будет перезагружен!!![/B][*]После окончания перейдите на вкладку [B]Step 3[/B] и таким же образом запустите [B]SFC[/B][*]После окончания перейдите на вкладку [B]Start Repairs[/B] => Нажмите кнопку [B]Start[/B][*]На предложение создать точку восстановления ответьте [B]Нет[/B][*]В левой части окна отметьте галочками следующие пункты и затем кнопку [B]Start[/B][CODE]
Remove Policies Set By Infections
Set Windows Services To Default Startup
[/CODE][*][B][COLOR="Red"]НЕ ИСПОЛЬЗУЙТЕ[/COLOR][/B] компьютер пока идет сканирование.[*]После процедуры восстановления может [B]потребоваться перезагрузка[/B].[/LIST]

[b]miraland[/b], в первую очередь сделайте проверку о которой я написал в своём предыдущем [URL="http://virusinfo.info/showthread.php?t=157068&p=1102398&viewfull=1#post1102398"]посте[/URL].

regist, я так и сделала. пока прошло 17%, такими темпами справится комп за полночь. предварительно вердикт Гуд. синих секторов не было, оранжевых % может около 10. отчет выложу.

regist, с домашним заданием справились :O
а дальше? теперь делать то, что предложено mike, или как-то использовать дальше результаты сканирования Victoria?

Запустите reg файл [URL="http://rghost.ru/53305346"]из архива[/URL], согласитесь на внесение изменений в реестр. Перезагрузись и проверьте улучшения есть?

Сделайте ещё тесты винчестера с помощью hd tune

Cкачала [B]Windows Repair (all in one)[/B] с [URL="http://www.tweaking.com/content/page/windows_repair_all_in_one.html"]этой страницы[/URL]
Установила программу и запустите ее.
Перейдя на вкладку [B]Step 2[/B] и запустите проверку диска нажатием кнопки [B]Do It[/B] - компьютер перегружается,анализирует диск С, и в программу не возвращается.
Переходя на вкладку [B]Step 3[/B] я не вижу кнопки, как запустить [B]SFC[/B].
если имеется ввиду такая же кнопка "Do it" - то при нажатии он хочет диск с сервис-паком 3, и хочет проверять файлы на соответствие винде. у меня диска и близко нет. к сожалению.
[/B]пробовала пару раз с начала - эффект тот же. заново анализирует на синем экране диск С.
к D: приставать перестал. попробовала протестить его TuneUp Utilities - ошибок не нашел.

[b]miraland[/b], купите и замените шлейф к жёсткому диску, ваши тормоза скорее всего из-за этого. Но чтобы точней сказать нужны скрины тестов с помощью программы hd tune.

regist, программу нашла, тесты сделала - может не все?
комп - ноут. один физический диск, два логических. повесился на выполнении скрипта. конечно могло совпасть с поломкой шлейфа... хотя я сильно сомневаюсь.

скорее всего тормоза из за проблем с поверхностью диска,надо проверить не прогрессируют ли негативные показатели.
Для этого надо повторить тест smart (сделать тест и скрин аналогичный вашему [URL="http://i7.pixs.ru/storage/5/0/4/smartJPG_2837181_11375504.jpg"]вашему предыдущему[/URL]) через несколько дней (например дня через 4).
Если показатели вырастут - значит очень скоро менять диск,если останутся прежними то лучше перенести систему на другой диск а этот использовать например для хранения файлов. Он еще послужит немного.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \21.03.2014_23.14.43\necurs0000\svc0000\tsk0000.dta - [B]Rootkit.Win32.Necurs.jc[/B] ( BitDefender: Trojan.GenericKD.1609834, AVAST4: Win32:Malware-gen )[/LIST][/LIST]