не стандартная ситуация, не могу действовать по правилам

Не знаю, что это и как бороться, это новый мега вирус.
Симптомы.
Компьютер загружается и где то через минуту перегружается.
Dr. Web блокируется вирусом, утилиту Cure It невозможно запустить.
Диспетчер задач тоже. В общем все что запускаю все сразу же сворачивается и закрывается. В диспетчере задач постоянно происходят какие-то процессы. Иногда вирус блокирует режим администратора.
Загрузка в безопасном режиме НЕВОЗМОЖНА (синий экран, на другом компьютере - писк и перегрузка).
Как я понял вирус прописывается путем авторана, винчестеру присваиваются какие то параметры и если вы пробуете зайти к примеру на диск С вирус тут же активируется. Так я заразил второй компьютер.
Я подключил зараженный винчестер к другому компьютеру и заразил его тоже.
Сканирование зараженного винчестера на третьем компьютере нашло вирус Autoruner и Trojan ROX. Все вроде удалило. (проверяли Dr. Web с новыми базами). При подключении проверенного винчестера назад в компьютер все повторилось по новой.
Я повторно проверил винчестер на другом компьютере утилитой AVZ, Hijack и после этих проверок и чисток запустил Cure It. Cure It нашел только вирус Autoruner я его удалил.
Подключил винчестер назад и все началось по новой.
Что можно сделать кроме форматирования винчестера посоветуйте.

[QUOTE=sir-gorgoroth;172312]Н
Компьютер загружается и где то через минуту перегружается.
Dr. Web блокируется вирусом, утилиту Cure It невозможно запустить.
[/QUOTE]
что пишет при перезагрузке ?
а если cureit переименовать ... например в 13.com ?
в авз выполните такой скрипт ...
[code]
begin
ExecuteRepair(1);
ExecuteRepair(10);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(true);
end.
[/code]
затем попробуйте загрузится в safe mode и провести проверку CureIt ....

---что пишет при перезагрузке ?
Ничего не пишет идет обычная перезагрузка компьютера. просто перегрузился и все.

Сure It переименовал в 1.exe - блокируется, моментально закрывается. Затем переименовал в 1.com - таже ситуация

Запустил AVZ пока собрался печатать скрипт компьютер сам вышел в режим ввода имя пользователя и пароля.

Для ускорения ввода скрипта скопировал его в ТХТ файл на флешку.
В общем запускаю AVZ и сразу из буфера кидаю скрипт. Выполняю.
Кружись в безопасном режиме - синий экран.

2 sir-gorgoroth:

Может быть пропустил, но ОС какая?

Paul

Только что выслал вам два зараженных файла, которые зараженный компьютер кидает на мою флешку. скорее всего это и есть вирус. Возможно они хоть как то прояснят ситуацию

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

ОС - Win XP

[quote=sir-gorgoroth;172361]ОС - Win XP[/quote]
Отключите [b]автоматическую перезагрузку при отказе системы[/b]:
Правой кнопкой мыши на Мой Компьютер - Свойства - Дополнительно - Загрузка и восстановление - Параметры - Отказ системы - Выполнить автоматическую перезагрузку.
Когда появится синий экран с кодом ошибки, сообщите его и желательно также название 'драйрер-виновника'. Советую любую защиту (файрвол, антивирус, анти-шпион, и т.п.) ОТКЛЮЧИТЬ во время работы с AVZ!
P.S.: Ещё можно скачать [url=http://download.sysinternals.com/Files/Autoruns.zip]Autoruns[/url] и сохранить лог с него. Сохраняется через 'File-SaveAs'.

Paul

ошибка безопасного режима такая
0x0000007B (0xF894D528, 0xC0000034, 0x00000000, 0x00000000)

Железо случайно не меняли?

я извиняюсь. да железо менял. Я совсем забыл что я тестирую на другом компьютере зараженный винчестер. (родной винчестер на этом компьютере как вы помните я тоже заразил и он тоже не грузился в безопасном режиме.)
Так вот поставил я зараженный винчестен назад на родную машину.
ошибка синего экрана такая

0x0000007B (0xF9Е49528, 0xC0000034, 0x00000000, 0x00000000)

Нового железа я не ставил.

Хочу лишь заметить что любой зараженный комп не дает грузится в безопасном режиме

@ sir-gorgoroth:

Log Autoruns не удалось сделать?

Paul

выслал только что ЛОГ программы AUTORUN

там что то страшное творится...

вы переставляли винчестер на разные машины и пытались с него грузится и там и там ?

[quote=sir-gorgoroth;172504]выслал только что ЛОГ программы AUTORUN

там что то страшное творится...[/quote]
Этот лог надо сюда прикрепить если можно. Если объём слишком велик, то тогда в .rar

Paul

перенес

[quote=V_Bond;172505]вы переставляли винчестер на разные машины и пытались с него грузится и там и там ?[/quote]

Да я пробовал грузится с одного и того же винчестера на разных машинах, так же я грузился с другого винчестера, а зараженный винчестер был поодключен как не загрузочный.

Драйвера никакие не ставил, ничего не менял

[code]C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка
+ ~.exe.121968.exe c:\documents and settings\all users\Главное меню\Программы\Автозагрузка\~.exe.121968.exe
+ ~.exe.122156.exe c:\documents and settings\all users\Главное меню\Программы\Автозагрузка\~.exe.122156.exe
+ ~.exe.129406.exe c:\documents and settings\all users\Главное меню\Программы\Автозагрузка\~.exe.129406.exe
+ ~.exe.130875.exe c:\documents and settings\all users\Главное меню\Программы\Автозагрузка\~.exe.130875.exe
+ ~.exe.52281.exe c:\documents and settings\all users\Главное меню\Программы\Автозагрузка\~.exe.52281.exe[/code]
Мда... Нездоровый коллектив, конечно...
Windows скрытие файлы и папки показывает? Редактор реестра (regedit) работает? Диспетчер Задач работает?

Paul

при запуске любых программ, как я писал ранее, происходит их закрывание.
Диспетчер отрывается и тут же закрывается. Тоже самое с антивирусными программами. Регедит я не запускал но даже если он и запустится я не успею ничего сделать компьютер перегружается максимум через минуту

а Hijack запустится ? если получится сделайте лог ... (он делается очень быстро) ...

Hijack запускается, но при начале сканирования выпадает красный крест, затем сканирование продолжается (не знаю полностью оно прошло или нет). потом программа виснет, лог файл создается но он пуст так как программа не успевает сохранить его, она виснет и все.
Print screen лога я тоже врядли смогу сделать. разве что сфотографировать монитор и потом вам в ручную все написать.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

удалось вынять с диска С два вируса. выслать их вам?

Пуск - Выполнить, наберите msconfig Появилось окошко? Там на вкладке "Автозагрузка" нужно поснимать галочки с подозрительных файлов (те, о которых говорил p2u).

[quote=sir-gorgoroth]Только что выслал вам два зараженных файла, которые зараженный компьютер кидает на мою флешку. скорее всего это и есть вирус.[/quote]
Это новая зараза: Virus.Win32.Xorer.dr
[url]http://virusinfo.info/showpost.php?p=172817&postcount=27[/url]

msconfig запускается, галки снял. но вот применить изменения невозможно. програма тут же виснет. как я и говорил ранее все программы тут же либо закрываются либо виснут

[size="1"][color="#666686"][B][I]Добавлено через 1 час 52 минуты[/I][/B][/color][/size]

да очень похоже на Virus.Win32.Xorer.dr

токо вот что с ним делать?

В порядке бреда - свежую AVPTool. Вдруг успеет нейтрализовать зловреда.

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
Begin
SetAVZGuardStatus(True);
DeleteFile('c:\pagefile.pif');
DeleteFile('d:\pagefile.pif');
DeleteFile('e:\pagefile.pif');
DeleteFile('f:\pagefile.pif');
DeleteFile('c:\AUTORUN.INF');
DeleteFile('d:\AUTORUN.INF');
DeleteFile('e:\AUTORUN.INF');
DeleteFile('f:\AUTORUN.INF');
DeleteFile('C:\NetApi00.sys');
DeleteFile('D:\NetApi00.sys');
DeleteFileMask('c:\', 'lsass.exe.*', false);
DeleteFile('C:\WINDOWS\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\com\netcfg.000');
DeleteFile('C:\WINDOWS\system32\com\netcfg.dll');
DeleteFile('C:\WINDOWS\system32\com\lsass.exe');
DeleteFile('D:\WINDOWS\system32\com\smss.exe');
DeleteFile('D:\WINDOWS\system32\com\netcfg.000');
DeleteFile('D:\WINDOWS\system32\com\netcfg.dll');
DeleteFile('D:\WINDOWS\system32\com\lsass.exe');
DeleteFileMask('c:\documents and settings\all users\Главное меню\Программы\Автозагрузка', '*.exe', false);
DeleteFileMask('d:\documents and settings\all users\Главное меню\Программы\Автозагрузка', '*.exe', false);
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('D:\WINDOWS\system32\dnsq.dll');
ExecuteRepair(6);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
[/code]
Компьютер перезагрузится.
Сделайте логи и приложите их к вашей теме.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=sir-gorgoroth]да очень похоже на Virus.Win32.Xorer.dr[/quote]
Не похоже, а он самый.

Наконец-то удалось сделать ЛОГИ!!!
Помог скрипт. Запустил АВЗ и очень быстро вставил скрипт.
После этого сделал логи. уже прикрепил их.

Где логи-то?

логи

[url=http://virusinfo.info/showpost.php?p=64376&postcount=1]Пофиксте[/url] в HijackThis строку:
[quote]
O20 - AppInit_DLLs: C:\WINDOWS\system32\dnsq.dll
[/quote]
Надо бы какой-нибудь антивурус поставить. Хотя бы пробную версию, чтобы повторно не заразится.

странная ситуация
На зараженном компе поставил Доктора Веба, скачал новые базы.
Пытаюсь профиксить в HijackThis строку указанную выше, Доктор Веб говорит что HijackThis это вирус (какой то червь), на моем компе тот что чистый стоит тот же антивирусник и тот же HijackThis - вирус не обнаруживается, пишет все ок.

Он ругается прямо на HijackThis или на папку HijackThis?

На HijackThis.exe именно на саму прогу

Точную цитату приведите.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\autorun.inf.5d5bef92 - [B]Worm.Win32.AutoRun.dck[/B] (DrWEB: Win32.HLLW.Autoruner.868)[*] \\pagefile.pif.26a4d919 - [B]Virus.Win32.Xorer.dr[/B] (DrWEB: Trojan.Rox)[/LIST][/LIST]