NT_Kernel error 1256 и все грехи

Printable View

02.03.2008, 17:28
1965dm

Вложений: 2

NT_Kernel error 1256 и все грехи

Проблемы:[LIST][*]При загрузке выбрасывает ошибки.[*]Работает машина очень медленно[*]В корневом директории на С: и папке Мои документы куча файлов типа pos2CFD.tmp от каждого запуска системы, не удаляемые.[*]OPERA и FireFox висят.[*]В процессе работы выскакивают разные страшные окна.[*]Через раз не видит второй винт на 30 ГИГ перезагрузки.[/LIST]На машине стоит[LIST][*]Windows XP SP2[*]Outpost Security Suite Pro 2008[*]NOD32_Portable_2.70.39[/LIST]Сообщение при загрузке (2 окна)
Impotant – potential errors found in the system.
During a scan of files at a system startup, potential errors in the system registry were found.
p-07-0100 irql: 1f sysver 0xff00024
NT_Kernel error 1256
KMODE_EXEPTION_NOT_HANDLED

AVZ не дал обновиться до новой базы ни с сервера форумовского, ни с z-oleg.com
С сообщением: ошибка автоматического обновленния [21,00002EE7]

есть еще несколько окон, могу описать или картинку приатттачить , которые выскакиваются
02.03.2008, 17:55
drongo

отключить антивирус и оутпост , интернет...
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\pos205.tmp','');
QuarantineFile('C:\DOCUME~1\AD47~1.DVX\LOCALS~1\Temp\TCCpuInfo.sys','');
QuarantineFile('D:\Женя\Проги\TTSToolbar.dll','');
QuarantineFile('C:\WINDOWS\system32\gebay.dll','');
QuarantineFile('C:\WINDOWS\system32\dkyvxecg.dll','');
QuarantineFile('C:\WINDOWS\system32\aknxjnky.dll','');
QuarantineFile('C:\Program Files\Google\Web Accelerator\GoogleWebAccToolbar.dll','');
QuarantineFile('C:\WINDOWS\system32\winpll32.dll','');
QuarantineFile('C:\WINDOWS\system32\dkyvxecg.dll','');
QuarantineFile('C:\WINDOWS\system32\khfeeca.dll','');
QuarantineFile('C:\WINDOWS\system32\IcyChrSs.scr','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\TVICHW32.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\a27x61qu.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\axt92z5w.SYS','');
QuarantineFile('C:\PROGRA~1\MOZILL~1\components\googlewebaccfirefox.dll','');
QuarantineFile('C:\WINDOWS\system32\bmtxtvnh.dll','');
QuarantineFile('C:\WINDOWS\system32\axmprxsx.dll','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/code]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=18997[/url]
P.s. По поводу hijackthis, нам не нужен архив с самой программой , а нужен лог , который можно получить благодаря ей ;)

Обновление avz можно сделать в ручную, скачав архив и распаковать туда где лежит AVZ у вас на диске.
02.03.2008, 18:10
1965dm

понял
- отрубаюсь.
- кидаю скрипт
- делаю карантин
- каЧаю обновку для AVZ
- отправлю вам домкрат
02.03.2008, 18:14
drongo

[url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url] - вот базы авз
Перечитайте как делать лог hijackthis, пригодится в будущем.
02.03.2008, 18:48
1965dm

лог hijackthis был сделал.
"тыцнул" не туда мышей

перезагрузка прошла тем же путем, с
окном
NT_Kernel error 1256
KMODE_EXEPTION_NOT_HANDLED

создаю карантин
03.03.2008, 00:14
drongo

C:\WINDOWS\system32\axmprxsx.dll
C:\WINDOWS\system32\dkyvxecg.dll
C:\WINDOWS\system32\khfeeca.dll
варианты виртумода, очень живучая гадость. ( kaspersky : not-a-virus:AdWare.Win32.Virtumonde.gen )

C:\WINDOWS\system32\winpll32.dll -> kaspersky : Trojan.Win32.Dialer.yz

P.S.
Странно, в карантине оказалось больше файлов, чем просил.

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

отключить антивирус и оутпост , интернет...
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DelBHO('{EB737007-72F1-49F6-9F16-F30BDF5C0CD4}');
DelBHO('{522443ED-6F9E-4528-B006-6B91AC1D4C1F}');
DelBHO('{7dba6696-060d-4b8c-a2ee-8e25710e7132}');
DelBHO('{A95B2816-1D7E-4561-A202-68C0DE02353A}');
DeleteFile('C:\WINDOWS\system32\dkyvxecg.dll');
DeleteFile('C:\WINDOWS\system32\axmprxsx.dll');
DeleteFile('C:\WINDOWS\system32\bmtxtvnh.dll');
DeleteFile('C:\WINDOWS\system32\khfeeca.dll');
DeleteFile('C:\WINDOWS\system32\gebay.dll');
DeleteFile('C:\WINDOWS\system32\winpll32.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]

Скорее всего за это время ещё что-то набежало. Скачать cureit (пункт 2 правил)и пройтись с ним полной проверкой дисков, сначало в безопасном а затем в обычном режиме.

сделать новые логи.
03.03.2008, 21:45
1965dm

ок.
после выполнения скрипта при загрузки сообщения о
NT_Kernel error 1256
изчезли (респект хелпперу)

освежаю пункт 2. (качаю доктора веба)
после прогона с сд рома.
пройдусь AVZ, hijackthis
сохраню логи
иотправлю Вам для анализа.
06.03.2008, 08:51
1965dm

Вложений: 3

все сделал в соответствии с инструкцией

cureit топтал вирусы,

и горели они в гиене огненой днем и ночью

прогнал AVZ
прикрепляю логи для Вашего анализа
сердце то не спокойно

удачи нам всем :-)
06.03.2008, 09:08
V_Bond

пофиксите ...
[code]
O2 - BHO: (no name) - {522443ED-6F9E-4528-B006-6B91AC1D4C1F} - C:\WINDOWS\system32\khfeeca.dll (file missing)
O2 - BHO: Google Web Accelerator Helper - {69A87B7D-DE56-4136-9655-716BA50C19C7} - C:\Program Files\Google\Web Accelerator\GoogleWebAccToolbar.dll (file missing)
O2 - BHO: (no name) - {A95B2816-1D7E-4561-A202-68C0DE02353A} - C:\WINDOWS\system32\dkyvxecg.dll (file missing)
O3 - Toolbar: Google Web Accelerator - {DB87BFA2-A2E3-451E-8E5A-C89982D87CBF} - C:\Program Files\Google\Web Accelerator\GoogleWebAccToolbar.dll (file missing)
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O20 - Winlogon Notify: dkyvxecg - dkyvxecg.dll (file missing)
O20 - Winlogon Notify: khfeeca - khfeeca.dll (file missing)
O20 - Winlogon Notify: winpll32 - winpll32.dll (file missing)
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{A95B2816-1D7E-4561-A202-68C0DE02353A}');
DelBHO('{522443ED-6F9E-4528-B006-6B91AC1D4C1F}');
DeleteFile('C:\WINDOWS\system32\khfeeca.dll');
DeleteFile('C:\WINDOWS\system32\dkyvxecg.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи начиная с пункта 10 правил ...
06.03.2008, 21:29
1965dm

Вложений: 3

последний бой, он трудный самый

все сделал.
вопрос:
кроме Outpost Security Suite Pro чот тонадо поставить?:)

Вам не человеческое спасибо за проделанную работу
06.03.2008, 22:00
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('NetLogSrv');
QuarantineFile('C:\WINDOWS\system32\drivers\svchost.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ....
в дополнение к Outpost Security Suite Pro ничего не требуется ....
06.03.2008, 23:24
1965dm

Вложений: 3

все сделано как сказал великий и могучий [B]V_Bond!![/B]
Трепппетно жду вердикта
06.03.2008, 23:26
rubin

Карантин прислали ? отчет появился? А то не вижу...
06.03.2008, 23:33
1965dm

отсылал. повторить?
06.03.2008, 23:34
V_Bond

повторите ...
06.03.2008, 23:36
1965dm

Результат загрузки
Файл сохранён как 080306_143626_virus_47d055caa7682.zip
Размер файла 1255495
MD5 39054a07a89fb73e37b3a46131dd5182
Файл закачан, спасибо!
06.03.2008, 23:40
V_Bond

интересующий файл в карантин не попал ...
повторите логи
06.03.2008, 23:44
1965dm

ок.
утром :-(
1. прогоняю 2 раза AVZ
2. прогоняю hijackthis
3. снимаю карантин в архив
4. оправляю карантин
5. выкладываю логи в сообщение?

ОК?
06.03.2008, 23:58
wise-wistful

[quote]3. снимаю карантин в архив
4. оправляю карантин[/quote]
Это пока не надо. Посмотрим логи и решим нужен нам кто-то или нет. А остально делайте.
07.03.2008, 08:47
1965dm

Вложений: 3

Спасибо всем борцам с нечистью компьютерной.
отправляю логи
вечером смогу выполнить Ваши инструкции.
07.03.2008, 09:00
V_Bond

в логах ничего подозрительного .... какие-то проблемы остались ?
07.03.2008, 10:53
1965dm

Проблем Нет!
спасибо за участие!

Рад был такому плодотворному поучительному и оперативному сотрудничеству!
07.03.2008, 13:38
rubin

Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Удачи!
22.02.2009, 04:13
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]90[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\axmprxsx.dll - [B]Trojan.Win32.Monder.ai[/B] (DrWEB: Trojan.Virtumod.based)[*] c:\\windows\\system32\\dkyvxecg.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.dnn[/B] (DrWEB: Trojan.Virtumod.260)[*] c:\\windows\\system32\\khfeeca.dll - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Virtumod.based)[*] c:\\windows\\system32\\winpll32.dll - [B]Trojan.Win32.Dialer.yz[/B] (DrWEB: Dialer.Brnd)[/LIST][/LIST]