Полностью потеряно управление настройками компьютера.

[FONT=Times New Roman][SIZE=3]Добрый день уважаемые эксперты.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Подхватил какую-то невероятную дрянь. Причем, заметил далеко не сразу.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Полностью потеряно управление компьютером.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]При попытке изменить параметры экрана выдается ошибка.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Не найден файл rundll32.exe, хотя файл спокойно лежит на своем месте.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Та же ошибка возникает при попытке просмотра свойств системы,[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]попытке войти в панель управления (Установка и удаление программ).[/SIZE][/FONT]
[FONT=Times New Roman][/FONT]
[FONT=Times New Roman][SIZE=3]То есть работать можно, а поменять что-либо в настройках компьютера нельзя.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Нельзя удалить ни одной программы. Хотя установить – можно. Удалось поставить nero7.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Откатить систему назад нельзя. Я отключил восстановление системы и заменил его на купленный Акронис 10 версии. Двухдневные попытки восстановить из полного архива диск С ни к чему не привели. Акронис видит простой диск IDE , как SCSI, а после перезагрузки не видит диск С вообще. [/SIZE][/FONT]
[FONT=Times New Roman][/FONT]
[FONT=Times New Roman][SIZE=3]Плюнул на восстановление. Решил установить систему на новый диск.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Отформатировал через Администрирование на своей машине. (слава Богу, еще работает.)[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]При установке системы, во время тестирования появляется синий экран с кодом остановки[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]STOP 0x00000007b(0xF78…….[/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]Сверху пояснение, что если это первый раз, то попробуйте повторить.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Если не первый, то у вас на Вашем диске вирусы.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Не первый. Значит надо искать вирусы.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Сканирование системы в безопасном режиме не выявило ни одного вируса.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3](До этого сканировал Вебером в простом режиме и все вычистил).[/SIZE][/FONT]
[FONT=Times New Roman][/FONT]
[FONT=Times New Roman][SIZE=3]Система Windows XP Pro.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Материнская плата P5K Delux.[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]Диск С Seagate 160 Gb IDE[/FONT][/SIZE]
[FONT=Times New Roman][SIZE=3]Диск F RAID “0” из двух дисков Seagate 160 Gb SATA.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Привод Pioner SATA.[/SIZE][/FONT]
[FONT=Times New Roman][/FONT]
[FONT=Times New Roman][SIZE=3]В процессе сканирования AVZ заметил три странных момента.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]1. Поиск маскировки процессов и драйверов не производится так как не установлен драйвер мониторинга AVZPM.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]2. Поиск открытых портов TCP/UDP не проводится.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Отключено пользователем. Я НИЧЕГО не отключал![/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]3. Проверка системы указала, что ВКЛЮЧЕНО восстановление системы.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Я его ТОЧНО отключил, когда поставил Акронис. Сейчас ни включить ни выключить восстановление системы просто не могу. Невозможно управлять настройками моего компьютера.[/SIZE][/FONT]
[FONT=Times New Roman][/FONT]
[FONT=Times New Roman][SIZE=3]Очень прошу помочь. Лог-файлы прилагаю.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]С уважением.[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman] Евгений.[/FONT][/SIZE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\TEMP\winlogan.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\smwdm.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\SjyPkt.sys','');
DeleteFile('C:\WINDOWS\TEMP\winlogan.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.

выполните скрипт. ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('NdisWon');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\TEMP\winlogan.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\NdisWon.sys','');
DeleteFile('C:\WINDOWS\TEMP\winlogan.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\drivers\NdisWon.sys');
BC_DeleteSvc('NdisWon');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

[quote=Maxim;172709]Загрузите карантин согласно приложению №3 правил. [/quote]
Файл загрузил. Только зазипован он без пароля. Не заметил сразу.

[quote]
AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.[/quote]
Спасибо. Сейчас сделаю.
Вопрос. Надо ли отключать Вебера при проведении этих процедур?

антивирус отключать обязательно ... скрипт из поста 3 тоже выполнять ...

через HiJackThis ничего фиксить не нужно .... логи сейчас смотрю ...

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

выполните скрипт ...
[code]
begin
ClearQuarantine;
QuarantineFile('C:\Program Files\webHancer\Programs\whSurvey.exe','');
BC_Importall;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

[quote=V_Bond;172802]
.....пришлите карантин согласно приложения 3 правил ...[/quote]
Только что пришел с работы. Прогнал скрипт.
При просмотре архива размер файлов был указан ноль.(???)
После архивации зазипованный размер архива 606 байт. (???)
Файл отправлен.

профиксите (в хайджек поставте галочки и нажмите Fix Cheked)
[code]
O4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program Files\webHancer\Programs\whSurvey.exe"
[/code]
сделайте новые логи ..hijackthis.log и virusinfo_syscheck.zip

Вроде бы всех демонов изгнали.

Что-то из этого нужно

[QUOTE]>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя[/QUOTE]

Проблема осталась в полном объеме.
Может надо перечислить пункты настроек в панели управления, куда я не могу войти?
Потому, что кое-куда меня все-таки "пускают".
Например, работает администрирование.
Я могу включить и отключить сеть. Работает закладка "Выполнить".
В то же время, я не могу войти в "Учетные записи пользователей", в "Систему", "Дата и время" и др.
При обращении к "закрытым" пунктам всегда диагностируется отсутствие в системе файла rundll32.exe.
Хотя файл лежит на своем месте.

Да еще я не сказал, что довольно давно у меня из системы исчез брандмауэр windows. Хотя до этой "беды" мое соединение с сетью было им защищено. Недели три назад я обнаружил, что надпись "защищено брандмауэром" исчезла из свойств моего соединения.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[quote=wise-wistful;173422]Вроде бы всех демонов изгнали.

Что-то из этого нужно[/quote]
Как только удастся вернуть управление настройками я большинство этих служб поотключаю.
Сейчас попробую отключить "анонимного пользователя".

выполните скрипт ....
[code]
begin
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(16);
RebootWindows(true);
end.
[/code]

[quote=wise-wistful;173422]Вроде бы всех демонов изгнали.

Что-то из этого нужно[/quote]
Как только удастся вернуть управление настройками я большинство этих служб поотключаю.
Сейчас попробую отключить "анонимного пользователя".
И в сеть из-под администратора не буду заходить.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

[quote=V_Bond;173440]выполните скрипт ....
[/quote]

Выпонил.
Пока не помогло.

[QUOTE=Evgeniy Koltsov;173429]
При обращении к "закрытым" пунктам всегда диагностируется отсутствие в системе файла rundll32.exe.
[/QUOTE]
сделайте принскрин ошибки ...

[quote=V_Bond;173440]выполните скрипт ....
[/quote]
Скрипт выполнен.

есть возможность скопировать rundll32.exe с другой системы ?

[quote=V_Bond;173460]есть возможность скопировать rundll32.exe с другой системы ?[/quote]
Сейчас попробую. С другого работающего компьютера через флешку можно?

да конечно ...

пришлите файлик с измененной датой ...

присылать по ссылке над темой .... прикреплять к сообщениям нельзя ...

[quote=V_Bond;173492]присылать по ссылке над темой .... прикреплять к сообщениям нельзя ...[/quote]
Прошу извинить. Отправил по ссылке над темой.

По-моему, это нормальная англоязычная утилита. На очень поверхностный взгляд. Сначала решил, что пропатчена, потом обратил внимание на данные о версии.
А с другой машины копировалась русская версия.
Система из dllcache восстанавливает файл в исходном виде.

Хм. Позовите командную строку, наберите команду [b]path[/b] и процитируйте ответ.

распакуйте архив в отдельный каталог ... запустите батник ... перегрузитесь ...

[quote=V_Bond;173506]распакуйте архив в отдельный каталог ... запустите батник ... перегрузитесь ...[/quote]

Распаковал. Там оказалось 2 файла. Запустил файл ph.bat
На мгновение мелькнуло черное окошко ДОСа и все.
Перезагрузился. Ничего не произошло.
Может, есть смысл запустить файл Pathman из виндузового меню "выполнить? И попробовать остановить это окошо и сделать принт скрин?

Попробовал запустить Pathman из окошка выполнить.
Нет такой команды на моей машине.
Может запустить Pathman.exe из под Тотал командера?

Мой компьютер -- свойства -- Дополнительно -- Переменные среды.
Там увидите Path. На нем нажать изменить, затем выделить, нажать Ctrl+C, а затем аккуратненько скопировать и приложить сюда.

[quote=PavelA;173911]Мой компьютер -- свойства -- Дополнительно -- Переменные среды.
Там увидите Path. На нем нажать изменить, затем выделить, нажать Ctrl+C, а затем аккуратненько скопировать и приложить сюда.[/quote]
В том-то и беда, что я НЕ МОГУ сейчас зайти в свойства компьютера.
Меня вирус или программа - перехватчик никуда не пускает.
Как только пытаюсь войти в "Свойства" вылезает ошибка - нет файла rundll32.exe. Хотя этот файл лежит на своем месте. В директории system32.

[QUOTE=Evgeniy Koltsov;173874]Распаковал. Там оказалось 2 файла. Запустил файл ph.bat
На мгновение мелькнуло черное окошко ДОСа и все.
Перезагрузился. Ничего не произошло.
Может, есть смысл запустить файл Pathman из виндузового меню "выполнить? И попробовать остановить это окошо и сделать принт скрин?

Попробовал запустить Pathman из окошка выполнить.
Нет такой команды на моей машине.
Может запустить Pathman.exe из под Тотал командера?[/QUOTE]
вы перегрузились после батника .... ?
можно запустить из командной строки .... тогда увидите результат ...

Уважаемые эксперты. У меня остался непроверенным на вирусы большой диск F. А по стандартному скрипту лечения и карантина проверяется только диск С.
После работы с программой AVZ я убедился, что она находит те вирусы, которые Вебер не видит. Нельзя ли сюда выложить Ваш стандартный скрипт лечения и карантина, только адресованный к диску F, а не С?
Чтобы была возможность вычистить ВСЮ заразу с машины.
Заранее благодарю.
Евгений.

Скрипт во вложении.

[quote=V_Bond;173941]вы перегрузились после батника .... ?

[/quote]
Обязательно.
[quote]
можно запустить из командной строки .... тогда увидите результат ...[/quote]
Из виндусовой командной пробовал.
Сейчас попробую ещ раз.

в regedit пускают? Если да, то найти вот этот раздел:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\Environment

[quote=PavelA;173953]в regedit пускают? Если да, то найти вот этот раздел:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager\Environment[/quote]
Сюда пускают.
Зашел.
Чего дальше делать?

Скопировал Принт скрином. Прилагаю.

Имя раздела выделить. вверху в меню Реестр - Экспорт файла реестра -- выбранную ветвь -- сохр в файл, приложить сюда.

Тоже самое сделать для ControlSet002 и других ControlSet, если есть.

[quote=PavelA;173965]Имя раздела выделить. вверху в меню Реестр - Экспорт файла реестра -- выбранную ветвь -- сохр в файл, приложить сюда.

Тоже самое сделать для ControlSet002 и других ControlSet, если есть.[/quote]

Есть только 001 и 003. СontrolSet002 нет совсем.
Файлы посылаю через верх страницы.

Заархивируйте и прикрепите к теме.

в Path прописано вот такое:
[QUOTE]%SystemRoot%\system32;%SystemRoot%;%SystemRoot%\System32\Wbem;C:\Program Files\Common Files\Autodesk Shared\;C:\Program Files\QuickTime\QTSystem\;C:\Program Files\Common Files\Adobe\AGL;C:\Program Files\ATI Technologies\ATI.ACE\Core-Static;c:\WINDOWS;c:\WINDOWS\system32[/QUOTE]

Вот этот кусок я бы убрал:
[QUOTE]
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static;c:\WINDOWS;c:\WINDOWS\system32[/QUOTE]
и попробовал поработать после перезагрузки.

[quote=PavelA;174470]в Path прописано вот такое:


Вот этот кусок я бы убрал:

и попробовал поработать после перезагрузки.[/quote]
А резве можно из Path убирать доступ к windows?

"c:\WINDOWS;c:\WINDOWS\system32"
Сейчас попробую убрать все, кроме обращения к виндам.
Запамятовал.
Помню, что под DOS был файл Path прямо в корне. Берешь и редактируешь.
А в windos где его редактировать?
В какой ветке RegEdita?

Можно, т.к. у тебя впереди все прописано: %SystemRoot%\system32;%SystemRoot%;

[quote=PavelA;174498]Можно, т.к. у тебя впереди все прописано: %SystemRoot%\system32;%SystemRoot%;[/quote]
Все убрал. Там же где списывал. В обоих контролях.
Перезагрузил. Загрузка нормально.
Но по прежнему, нет доступа к свойствам монитора.

А что-нибудь такое вроде команды PATH заработало?

Пуск - Выполнить - CMD.exe
И в окне просто [b]path[/b].