Уважаемые здравствуйте
на экране машины вываливается сообщение что заблокировано выполнение программы и sav10 выдает сообщение что нашел Trojan.Pentax в файле c:\windows\system\drivers\bcp78.sys (этот же bcp78.sys лежит и в c:\windows\)
(рекомендации с сайта дядькит Нортона не помогают так как указанных там в рекомендации веток реестра у меня нет)
а еще находит smtpdrv.sys
а лог HJT ?
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('Rnt36');
StopService('Bcp78');
DelBHO('E4B4FEAA-FC1B-488d-9AA4-EDD924EAA809');
QuarantineFile('C:\WINDOWS\system32\drivers\nkv2.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Bcp78.sys','');
QuarantineFile('c:\windows\system32\vhosts.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Rnt36.sys','');
QuarantineFile('C:\WINDOWS\Bcp78.sys','');
DeleteFile('C:\WINDOWS\Bcp78.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Rnt36.sys');
DeleteFile('c:\windows\system32\vhosts.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Bcp78.sys');
DeleteService('Rnt36');
DeleteService('Bcp78');
DeleteService('msupdate');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил. Повторите логи.
лекарство не помогло - диагноз прежний
Generic Host Process for W32 Service вызвал проблему и требует завершения
и свнова окошо SAV об обнаружении того же самого bcp78.sys
сейчас карантин пришлю
(пошел правила читать - а это в прошлый раз файл с вирусом выложил прямо в тему:( - заработал "благодарность" от всего прогрессивного человечества)
Где повторные логи? Firewall на компьютере есть? Если нет, включите Windows Firewall.
карантин ушел
[size="1"][color="#666686"][B][I]Добавлено через 1 час 44 минуты[/I][/B][/color][/size]
FireWall защищает всю сетку и в инет весь народ ходит через прокси (squid)
повторный запуск стандартного скрипта (№3) вызывает "самопроизвольную" перезаругку системы
попробую завтра с утра в безпосном режиме прогнать скрипт
от еще странный эффект на машине происходит
в папке c:\windows\pchealth\ERRORREP\UserDump\ куча файлов
типа svchost.exe2008...hdmp - весь диск С забит.
(стандартные скрипты AVZ удалось выполнить только в безопасном режиме)
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
StopService('FCI');
StopService('Rnt36');
StopService('Bcp78');
DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
DeleteFile('C:\WINDOWS\Bcp78.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Rnt36.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Bcp78.sys');
DeleteService('FCI');
DeleteService('Rnt36');
DeleteService('Bcp78');
SysCleanAddFile('drive01.dll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Попробуйте сделать логи в нормальном режиме. Очистите ПК от мусора. Подробнее [URL="http://virusinfo.info/showthread.php?t=10025"]здесь[/URL].
диагноз прежний - выскакивает окно с ошибкой Generic host...
но зато удалось прогнать avz в обычном режиме
вот логи
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SetAVZGuardStatus(true);
DeleteFile('c:\windows\system32\vhosts.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Rnt36.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
BC_ImportDeletedList;
BC_Activate;
SysCleanAddFile('Pqr50.sys');
SysCleanAddFile('c:\windows\system32\vhosts.exe');
SysCleanAddFile('C:\WINDOWS\System32\Drivers\Rnt36.sys');
SysCleanAddFile('C:\WINDOWS\system32\DRIVERS\smtpdrv.sys');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Повторите логи. Включите Windows Firewall.
a firewall зачем включать ?
(повторюсь вся сеть сидит за freebsd+ipfw+nat+squid)
Включите... Посмотрим что будет.
окошко с ошибкой generic host перестало выскаивать
но при перезагрузке вывалилось окошко "система восстановлена после серьезной ошибки", хотя функция восстановления откючена давно
и выполнить скрипты avz не удалось машина самопроизвольно перегрузилась
Попробуйте выполнить скрипт ещё раз, я внес в него некоторые правки.
выполил обновленный скрипт, фаервол включил
окошки не выскаивают
подождем денек о результатах отпишусь
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
сканирование AVZ не смогу сейчас сделать - сижу удаленно
Как только сможете, делайте логи. Разберитесь также где утечка, кто-то машину атакует не смотря на все прокси...
не помогло
при перезагрузке вываливается окно "система восстановлена после серьезной ошибки"
запуск 3-го скрипта AVZ вызывает перезагруз машины
сделал сканирование в безопасном режиме
(и еще одна фигня у всех узеров при печати на сетевых принтерах hp2015dn если есть таблицы (например в xls) то в документе печатается только текст)
Выполните такой скрипт в AVZ:
[code]
begin
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Pqr50\0000', 'CSConfigFlags', '1');
BC_QrFile('C:\WINDOWS\System32\drivers\Pqr50.sys');
BC_DeleteSvc('Pqr50');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Pqr50.sys');
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки повторите лог syscheck (п.10 правил)
и прикрепите файл [i]boot_clr.log[/i] из папки с AVZ.
если выше сказанное проблему не решит ...
можно провести еще такую пртседуру ...
[URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- отключить антивирус
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\system32\drivers\Pqr50.sys - direct file content wiping - do operation - закрыть программу..
- перезагрузится ...
выполните скрипт ...
[code]
begin
BC_DeleteSvc('Pqr50');
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
Система не может загрузится
[size="1"][color="#666686"][B][I]Добавлено через 41 секунду[/I][/B][/color][/size]
после последнего лечения
После совета Bratez или V_Bond?
[quote=taishigo;173594]Система не может загрузится
после последнего лечения[/quote]
После моего скрипта или применеия RKU?
В безопасном режиме тоже не может?
Какое-то сообщение выдается?
а как восстановить "загружабельность" системы ?
Вначале ответьте на вопросы
[QUOTE=Bratez;173600]После моего скрипта или применеия RKU?
В безопасном режиме тоже не может?
Какое-то сообщение выдается?[/QUOTE]
да после вашего, а сообщение не могу сейчас делал лечение удаленно
а пользователь...
минуту сечас попроши уго запустить машину
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[QUOTE=Bratez;173600]После моего скрипта или применеия RKU?
В безопасном режиме тоже не может?
Какое-то сообщение выдается?[/QUOTE]
после вашего скрипта
а сообщения никакого не выдает
предалагает выбрать режим загрузки системы и при любом варианте снова перегрузается и снова выдает меню выбора режима загрузки
Вариант "Загрузка последней удачной конфигурации" тоже не срабатывает?
да этот вариант получился
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
выполнить скрипты AVZ еще раз ?
Не надо скрипты, сделайте новый лог syscheck (п.10 правил).
вот
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Pqr50', 'Start');
RebootWindows(true);
end.[/CODE]
Потом ещё один[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\Drivers\Pqr50.sys','');
DeleteFile('C:\WINDOWS\System32\Drivers\Pqr50.sys');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил. Повторите логи.
после выполнения первого скрипт машина нормально перегрузилась но выдала сообщение чтосистема восстанорвлена после серьезной ошибки и в системно логе вот такое сообщение:
Тип события: Ошибка
Источник события: Service Control Manager
Категория события: Отсутствует
Код события: 7026
Дата: 17.01.2008
Время: 16:31:10
Пользователь: Н/Д
Компьютер: ччч
Описание:
Сбой при загрузке драйвера(ов) перезагрузки или запуска системы:
eeCtrl
2. сейчас буду выполнять второй скрипт
Это нормально. Даже можно сказать хорошо :)
после второго скрипта тоже самое сообщение о восстановлении системы после критической ошибки
попытка выполнить стандартный скрипт AVZ №3 снова вызвала перезгрузку системы
А вот это плохо :( Давайте стандартный скрипт №2
Придется выполнять совет [b]V_Bond[/b]'a ;)
Надеюсь, RKU таки справится.
сделаю стандартный скрипт №2 и дождусь вашего совета
.
Вы делали проверку куритом в безопасном режиме?
нет не делал
Сделайте. Очень прошу. Потом повторите лог. Только проверка должна быть полная.