Поймал сегодня несколько вирусов, полечил AVZ, ребутнулся и все, в обычном режиме не грузится, только безопасный, и при скане AVZ все еще что то находит, но удалить/лечить не может.
Если в безопасном режиме позволять подгружать файлы vax347b.sys и sptd.sys то и безопасный режим тоже не работает.
Совсем не хочется виндовс переустанавливать. Прошу вашей помощи!
Логи прилагаю, все сканы соответственно из Safe Mode.
[B]virusinfo_cure.zip весит 453 кб и форум пишет что не может его загрузить[/B]
1.В avz [URL="http://virusinfo.info/showthread.php?t=7239"]выполнить скрипт[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('F:\INSTALL\GMSIPCI.SYS','');
QuarantineFile('C:\WINDOWS\system32\_svchost.exe','');
DeleteService('Microsoft Int Service');
DeleteFile('C:\WINDOWS\system32\_svchost.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
2.[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL] в HiJackThis
[CODE]
O23 - Service: Microsoft Int Service - Unknown owner - C:\WINDOWS\system32\_svchost.exe (file missing)
[/CODE]
3.Выслать карантин согласно приложению 3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]
Карантин выслал, правда AVZ ругался что не может скопировать файл в карантин, но видимо зря ругался.
Повторите логи. virusinfo_cure.zip загрузите через ссылку [url]http://virusinfo.info/upload_virus.php?tid=16334[/url]
вот свежие логи, virusinfo_cure.zip загружен по ссылке.
Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
[/code]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
BC_QrSvc('NdisWon');
BC_DeleteSvc('NdisWon');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Деинсталлируйте (временно) DaemonTools. Попробуйте после этого загрузиться в нормальном режиме.
Пофиксил.
Выполнил скрип, карантин пуст :( Слать нечего.
DaemonTools родным анинсталом удалятся не хочет, я так понимаю просто удалив папку DaemonTools я его не удалю, как его правильно удалить?
Попробуем пока просто отключить его драйверы:
[code]
begin
SetServiceStart('sptd', 4);
SetServiceStart('vax347b', 4);
RebootWindows(true);
end.[/code]
Загрузится ли теперь в нормальном?
Да, загрузился в нормальном режиме, вы Гений :)
Как быть с DaemonTools? Пробовать его поставить поверх старого, и удалить корретно через его родной анинстал?
Попробуйте теперь удалить DaemonTools штатным деинсталлятором.
(Воможно он просто не мог работать в безопасном).
Нет, не удаляется, в списке установка\удаление его нет, а из папки uninst.exe думает что он не установлен и пишет буквально следующее:
Setup is unable to validate in installation.
Тогда ставьте заново поверх старого. Надеюсь, после этого винда не рухнет опять ;)
К сожалению все повторилось, Daemoon Tools находится на образе, который хотел смонтировать с помощью Alcohol 120%, начал ставить Alcohol 120% и снова та же проблема, остановил драйвер vax347b который инсталлит Alcohol 120%, все работает, но программы нужны:(
Сделайте новый комплект логов в нормальном режиме.
новые логи. Новая проблема, только что обнаружил, при правом клике почти на любом файле, explorer.exe выдает ошибку и вылетает.
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\Oreans.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ntio922.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ndisaluo.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\ntio922.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\ndisaluo.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Файл сохранён как080113_090027_virus_478a278b5cc6c.zipРазмер файла47276MD57938f7717cd3699907979bf885ed9f22
Проблема с вылетанием explorer.exe осталсь:(
Oreans.sys - чистый,
ntio922.sys и ndisaluo.sys - [b]Trojan-Proxy.Win32.Wopla.at[/b]
Сделайте еще раз лог syscure, надо убедиться в успешном их удалении.
Выложил. А с вылетанием експлорера что посоветуете?
Нормально удалились, остались следы в реестре.
Выполните скрипт:
[code]
begin
BC_DeleteSvc('ntio922');
BC_DeleteSvc('ndisaluo');
BC_Activate;
RebootWindows(true);
end.[/code]
Дальше план такой:
1. Удаляем Alcohol.
2. Удаляем NOD32.
3. Устанавливаем обратно Alcohol.
4. Устанавливаем Daemon Tools.
5. Устанавливаем NOD32 или другой антивирус.
Надеюсь все получится.
Спасибо огромное, все получилось, встал и алкоголь и даймон тулс.
Комп нормально работает.
Поспешил я с выводами, по правому клику на рабочем столе комп долго думает и ничего не происходит, правый клик на локальных дисках приводит к таким же результатам. При загрузке виндовс, после появления рабочего стола, экран чернеет и как будто рабочий стол подгружается заново. Что посоветуете?
Может попробовать восстановить виндовс из дистрибутива?
См. в разделе "Чаво" совет как исправить это дело с жесткими дисками.
Рабочий стол может чернеть из-за попытки загрузки отстутст. утилиты для видеокарты. У меня на машине стол именно так передергивается.
Попробуйте для начала в AVZ:
Файл - Восстановление системы - п.6 и 8 - Выполнить, перезагрузиться.
Странно, у меня [B]Virus.VBS.Small.a [/B]не было, а помгло удаление ключа:
[B]HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2[/B]
если можно, обьясните за что он отвечает.
И ещё такой вопрос, при просмотре через msconfig автозагрузки, там отображается например такое:
[B]C:\WINDOWS\system32\alt.exe.exe[/B]
[B]C:\WINDOWS\system32\p2001.exe[/B]
и ещё какой то [B]%systemroot%\system32\dumprep 0 -u[/B]
и он присутствует на диске, я так понимаю это вирус, но его не видит ни AVZ ни CureIt, как его удалить из автозагрузки? ну и из компьютера тоже :)
dumprep - это системная утилита, на неё внимания не обращайте.
[quote]C:\WINDOWS\system32\alt.exe.exe
C:\WINDOWS\system32\p2001.exe[/quote]
Этих двух в последних логах не было!
Пришлите их по правилам.
И логи новые надо сделать, хотя бы начиная с п.10 правил.
[QUOTE=Nobil;172090]Странно, у меня [B]Virus.VBS.Small.a [/B]не было, а помгло удаление ключа:
[B]HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2[/B]
если можно, обьясните за что он отвечает.
и ещё какой то [B]%systemroot%\system32\dumprep 0 -u[/B]
и он присутствует на диске, я так понимаю это вирус[/QUOTE]
Ключик отвечает за двойной клик мыши.
[B]%systemroot%\system32\dumprep 0 -u[/B] - система вставляет в автозапуск для изготовления дампа в случае возникновения обшибки.
Новые логи, на всякий случай сделал все три лога.
Ап...
Два указанных вами файлика я просил прислать...
А в логах не видно ничего плохого.
Простите мою невнимательность, вот:
Файл сохранён как 080115_110321_virus_478ce759a4cbb.zip
Размер файла 315889
MD5 57a869f7fd47ec092dad50036d70f8da
alt.exe.exe - [B]Trojan.Win32.Agent.dvv[/B]
P2001.exe - вроде чистый. Подождем ответа аналитиков.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\alt.exe.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Повторите логи.
Свежие логи. Подскажите как его удалить из реестра? в msconfig он все ещё числится в автозагрузке.
В логах всё нормально.
в логах ничего зловредного ....
убирайте в msconfig ... не получится напишем скрипт ...
[quote=Maxim;172684]
P2001.exe - вроде чистый. Подождем ответа аналитиков.
[/quote]
По поводу этого [B]P2001.exe[/B] периодически просматривать эту тему?
Галочку то я снял в msconfig, хотелось бы его удалить из реестра ну и что бы в msconfig не отображался. А то смущает что он там числится. Заранее спасибо.