прошу помощи

отрубился ДрВеб 4.44 - не может открыть свои собственные базы - говорит о CRC ошибке.. попробовал принести базы с другой машины - несчитывает с флешки. проверил флешку на другой машине - всё считывается и всё чисто.

Скандиск ничего не дал. Снёс ДрВеб с намерением переустановить но на другой логический диск - доходит до инсталяции баз - даёт ЦРЦ ошибку. Попытка установить Касперского тоже не удалась - ругался на определённом этапе. кроме всего этого не запускаются некоторые программы - сообщают или о неверном пути или о не верном обращении по адресу.

Попытался поработать AVZ - запускается, но не даёт ничего сделать - постоянно выдаёт ошибки по обращению к памяти по разным адресам.

Преверял CureIt! - ничего не нашла. проверял раза три, каждый раз скачивал свежую версию. пусто.

подозреваю вирус, который хитрым образом помечает некоторые файлы как сбойные.... но как искать дальше - не знаю.

[URL="http://dnl-eu5.kaspersky-labs.com/devbuilds/AVPTool/"]этим [/URL] провертесь ...
HijackThis запускается ?

[quote=V_Bond;206676][URL="http://dnl-eu5.kaspersky-labs.com/devbuilds/AVPTool/"]этим [/URL]провертесь ...
HijackThis запускается ?[/quote]


Хайджэк запускается. проверил АВЗ - я запускал старую версию - за декабрь - новая работает. завтра пришлю если будет что.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[quote=V_Bond;206676][URL="http://dnl-eu5.kaspersky-labs.com/devbuilds/AVPTool/"]этим [/URL]провертесь ...
quote]

ЭТО не устанавливается - ругательства в адрес файла klif.sys при установке - попытка переименования, ошибка по адресу и т.д. точно так же как при укстановке КАВ последнего.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

ещё наблюдение - удалял старую версию АВЗ - не удаляются базы оного - точно так же как не удаляются базы ДрВеба - ни скопировать, ни отредактировать, ни переименовать, ни удалить - ЦРЦ эррор.

windows\system32\mdelk.exe - вот такой есть на диске?

[quote=PavelA;206691]windows\system32\mdelk.exe - вот такой есть на диске?[/quote]


нету

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

так, запускаю свежую версию АВЗ - в менюшках циферки и знаки вопросов - работать невозможно...

[size="1"][color="#666686"][B][I]Добавлено через 19 минут[/I][/B][/color][/size]

попробьовал запустить АВЗ с флешки (ибо не копировались базы на винт - причина таже что и выше) - выдаёт кучу ругательств на адрес в памяти. если пойти в этот момент покурить - то уложит табличками с ругательствами весь монитор :-/

Из зипа АВЗ работать не умеет, поэтому и циферки.
Попробуй запустить GetsystenInfo
[url]http://support.kaspersky.ru/downloads/utils/getsysteminfo.zip[/url]

Она создает текстовый файл отчета о системе, который
надо потом переслать нам.

Утилита не инсталлируется, просто запускается и все.

лог ХайДжэка. логи АВЗ сделать не удаётся.

done

ещё разок....

Профиксить вот это надо:
O20 - Winlogon Notify: mp3res - C:\WINDOWS\SYSTEM32\mp3res.dll

[quote=PavelA;206909]Профиксить вот это надо:
O20 - Winlogon Notify: mp3res - C:\WINDOWS\SYSTEM32\mp3res.dll[/quote]

это Хайджэком, правильно? что то ещё?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 35 минут[/I][/B][/color][/size]

сделал фикс Хайджэком, ничего не поменялось. после перезагрузки О20 есть.

"Восст системы" отключено?

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

hockey.pif
Скачайте
[url]http://www.megaupload.com/?d=AUGYD37C[/url]
Это переименованный IceSword
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы и если они есть - удалите с помощью force delete (нажмите по ним правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да"):
C:\WINDOWS\SYSTEM32\mp3res.dll
C:\WINDOWS\system32\xprot.sys
C:\WINDOWS\system32\msime82.exe

ТНК [b]kps[/b]

[quote=PavelA;206999]"Восст системы" отключено?

[SIZE=1][COLOR=#666686][B][I]Добавлено через 6 минут[/I][/B][/COLOR][/SIZE]

hockey.pif
Скачайте
[URL]http://www.megaupload.com/?d=AUGYD37C[/URL]
Это переименованный IceSword
[/quote]

не даёт скачать... на рапиде или зэдшаре есть?

[size="1"][color="#666686"][B][I]Добавлено через 37 секунд[/I][/B][/color][/size]

восстановление отключено

[url]http://uploading.com/ru/files/VVKG3ZDO/1.zip.html[/url] - вот другая ссылка.

[quote=PavelA;206999]"
C:\WINDOWS\SYSTEM32\mp3res.dll
C:\WINDOWS\system32\xprot.sys
C:\WINDOWS\system32\msime82.exe

ТНК [B]kps[/B][/quote]


Помгло! нашол первый третий, свордом грохнул. второго не было.
теперь ДрВеб нормально устанавливается, базы считываются. и Очень Важная Программа тоже запускается. Спасибо огромное!

дальше танцевать ещё надо?

да, и что это за гадость такая была? расскажите подробней....

а, и что такое hockey.pif ? не нашол такого файлика на системном диске.

[QUOTE=trg;207042]Помгло! нашол первый третий, свордом грохнул. второго не было.
теперь ДрВеб нормально устанавливается, базы считываются. и Очень Важная Программа тоже запускается. Спасибо огромное!

дальше танцевать ещё надо?

да, и что это за гадость такая была? расскажите подробней....

а, и что такое hockey.pif ? не нашол такого файлика на системном диске.[/QUOTE]

Логи надо делать, чтобы проверить все как следует и грохнуть при необходимости малваре.

hockey.pif - переименованная программа, которой ты воспользовался. Наше тайное оружие.

Второй файлик тоже должен быть на диске, в логе GSI я его увидел.

[quote=PavelA;207047]Логи надо делать, чтобы проверить все как следует и грохнуть при необходимости малваре.

.[/quote]


ну что, танцы надо продолжить, АВЗ при запуске показывает циферки и знаки вопросов в названиях менюшек. ХайДжэк показал 020 - отключил восстановления - фиксанул, после перезагрузки не показывает. но АВЗ.... вобщем работать с ним нельзя.

три указаных файла не появились. какое телодвижение дальше?

AVZ запускаете случайно не из архива?

[quote=Гриша;207737]AVZ запускаете случайно не из архива?[/quote]

обижаете.....

Базы AVZ на месте? Доступны для чтения?

[quote=pig;207784]Базы AVZ на месте? Доступны для чтения?[/quote]


что бы базы были на месте - их надо обновить. а я это не могу сделать - ибо все менюхи АВЗ обозначаются циферками и знаками вопроса.
но овобще базы ничег оне блочит. как было позавчера.

AVZ удалите и скачайте заново, т.к. зловред его возможно повредил.
Windows у Вас русская? (это по поводу вопросиков)

[quote=kps;207818]AVZ удалите и скачайте заново, т.к. зловред его возможно повредил.
Windows у Вас русская? (это по поводу вопросиков)[/quote]


попробую. Винда ХР русская, лицензионная.

После обновления баз надо AVZ перезапустить. Это один вариант.
Во-вторых такое бывает, когда AVZ запускаете из архива.

прилагаю логи

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('fwdrv.sys');
QuarantineFile('C:\fwdrv.sys','');
BC_DeleteSvc('xprot');
QuarantineFile('C:\WINDOWS\system32\xprot.sys','');
DeleteFile('C:\WINDOWS\system32\xprot.sys');
DeleteFile('C:\fwdrv.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ....

[quote=V_Bond;208862]выполните скрипт ....

пришлите карантин согласно приложения 3 правил ....
повторите логи ....[/quote]

Скрипт выполнил, карантин пуст.
сделал снова логи АВЗ и ХайДжэкзис, прилагаю.
восстановление было отключено, мониторинг ДрВеба тоже.

после выполнения скрипта машина стала нормально перезагружатся - до того наглухо зависала при выключении/перезагрузке.

выполните скрипт ....
[code]
begin
QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....

[quote=V_Bond;209247]выполните скрипт ....

пришлите карантин согласно приложения 3 правил ....[/quote]


[B]Результат загрузки[/B]

Файл сохранён как080401_102609_virus_47f254115c80b.zipРазмер файла1258405MD5f03627e824a1bf3b0651f4553c20fa28[B]Файл закачан, спасибо![/B]

присланный файл чистый ... больше ничего подозрительного ...
какие-то проблемы остались ?

[quote=V_Bond;209365]присланный файл чистый ... больше ничего подозрительного ...
какие-то проблемы остались ?[/quote]



вчера снова зависло при перезагрузке и были проблемы с доступом по сети

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[quote=V_Bond;209365]присланный файл чистый ... больше ничего подозрительного ...
какие-то проблемы остались ?[/quote]


да - в карантине было три файла. абсолютно одинаковые но с разными путями. выбрал самый нижний....

[QUOTE=trg;209746]вчера снова зависло при перезагрузке и были проблемы с доступом по сети
[/QUOTE]
подробнее зависло после чего ? ... проблемы с доступом не проходят пинги ? машина виснет при вхождении в сеть ?

[QUOTE=V_Bond;209753]подробнее зависло после чего ? ... проблемы с доступом не проходят пинги ? машина виснет при вхождении в сеть ?[/QUOTE]


виснет при выключении/перезагрузке. в сеть входит нормально. работает. потом исчезает доступ из сети к ней - там расшаренная папка лежит общего пользования. при этом с самой машины пинги ходят, принтер печатает. но доступа извне к ней нет. говорит - не найден сетевой путь или ресурс. после перезагрузки - опять нормально. таким образом её перезапускают 5-6 раз за день.

- стоит проверить сетевой кабель и саму карточку ....
- при выключении виснет или долго выключается ( может до 10 минут )

[quote=V_Bond;209840]- стоит проверить сетевой кабель и саму карточку ....
- при выключении виснет или долго выключается ( может до 10 минут )[/quote]


ну я ж написал - нет доступа из вне. а с машины пинги при этом ходят, принтер печатает.

пр выключении именно зависает. до 20 минут проврял - дальше лень...
может я пришлю ещё два файла из карантина? хотя размер одинаковый был....

присылайте ....

[quote=V_Bond;210282]присылайте ....[/quote]


выделил все три объекта в карантине
[B]Результат загрузки[/B]

Файл сохранён как080403_055436_virus_47f4b76c6b82a.zipРазмер файла1258977MD5e49e0ac867c0776c7666fa97abab8808[B]Файл закачан, спасибо![/B]

[quote=V_Bond;210282]присылайте ....[/quote]


ну что, проблески есть?

тут ещё понаблюдал следующее - доступ к расшаренной папке исчезает после запуска Очень Важной Программы (Audatex называется) после этого же машина виснет при завершении работы.
После этой программы в памяти всегда оставался процессик wowexec.exe - возможно зловред остался в нём... я попробую сделать логи после запуска Аутодатекс и пришлю.

если ваш Audatex 16 битный то в появлении wowexec.exe нет ничего странного ...
а вот что делает Audatex с этим наверно стоит разбираться ... с сетью эта програмка работает ?

[QUOTE=V_Bond;212111]если ваш Audatex 16 битный то в появлении wowexec.exe нет ничего странного ...
а вот что делает Audatex с этим наверно стоит разбираться ... с сетью эта програмка работает ?[/QUOTE]

с сетью Аудатекс работает на уровне - сходитьнафтп-забратьобновления, и то это запускается вручную, автоматом оно не ходит