Не запускаются антивирусы, тестеры, вылетает explorer.exe

здравствуйте, сейчас опишу проблему
для начала-
не запускается ни один антивирус, avz виснет при проверке блокирующих rootkit программ, т.е почти в начале, скрипты не выполняются, даже на удаление и перемещения в карантин файлов.
переименовка в 2325.com не помогла

hijackthis -
при выборе первого пункта, т.е проверить и сохранить лог сразу виснет,
если же выбрать простое сканирование то сканирует - в процессе скана 2 раза вылетает окно с ошибкой - #70 - Permission denied
далее он не виснет, но при попытке сохранить лог вручную опять же вылетает. переименовка в 2325.com не помогла

иногда explorer.exe начинает набирать аппетиты памяти и в конце концов дойдя до опр точки вылетает, так же бывает с таскменеджером.

ранее, при подключении в интернет открывался IE и посылал на сайт с какими то йероглифами (предположительно китайскими:) ) с адресом чтото наподобии qq.***.**

При перезагрузки и попытки загрузится в безопасном режиме, вылетает bsod c требованием проверить диск F:/

отключил все виртуальные приводы, но все равно - проверьте диск f:/..

иногда при попытке загрузить антивирус (панда) в диспечере светился ping.exe.

Такое ощущение что антивири начинают запускаться и потом их ктото закрывает.

Делай лог GSI (GetSystemInfo) с сайта Касперского.

Та же история, при проверке процессов и модулей просто виснет

Попробуйте так: программа avz - файл - выполнить скрипт - выполните скрипт: [code]begin
executerepair(6);
rebootwindows(false);
end.[/code] Система должна уйти в перезагрузку. После перезагрузки, попробуйте снова создать лог Hijackthis и лог исследования системы в AVZ.

Когда Вы запускаете какой-нибудь антивирус, не такая ли ошибка появляется "(антивирус) не является приложением Win32" ?

[quote=Numb;212127]Попробуйте так: программа avz - файл - выполнить скрипт - выполните скрипт: [code]begin
executerepair(6);
rebootwindows(false);
end.[/code] Система должна уйти в перезагрузку. После перезагрузки, попробуйте снова создать лог Hijackthis и лог исследования системы в AVZ.[/quote]


не помогло, только сейчас при запуске системы засветилось окошко с загрузкой некого nvdtm.exe (название примерное)
за ним следом загрузка какого то файла по адресу c:/documents and settings/all users/apl data/~5523/~12 (примерно)


при загрузке антивирусов никакой ошибки не выдает, например панда разворачивает окно проверки и тут же его сворачивает, avz же просто виснет.

установщики - нода, аваста, панды просто сворачиваются даже не дойдя до прочтения лецензионного соглашения

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Кстати
заменил пинг.ехе папкой с таким же названием, IE с китайским сайтом перестал открыватся.

я понимаю изврат уничтожать системные файлы таким путем, но излечится уж очень хочется

пробуйте загрузиться с live-cd ... и выполнить проверку cure-it ...

[quote=V_Bond;212143]пробуйте загрузиться с live-cd ... и выполнить проверку cure-it ...[/quote]

тюплю, попробую

Скачайте hockey.pif, это переименованный IceSword.
[url]http://www.megaupload.com/?d=AUGYD37C[/url]
Запустите, внизу слева выберите меню File.
Появится аналог проводника. Посмотрите, есть ли файлы:
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe
и
WINDOWS\SYSTEM32\mp3res.dll
WINDOWS\system32\xprot.sys

Если какие-то из этих файлов у Вас есть - сообщите.

удалось сделать тест системы. правда хз как.

[quote=kps;212148]Скачайте hockey.pif, это переименованный IceSword.
[URL]http://www.megaupload.com/?d=AUGYD37C[/URL]
Запустите, внизу слева выберите меню File.
Появится аналог проводника. Посмотрите, есть ли файлы:
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe
и
WINDOWS\SYSTEM32\mp3res.dll
WINDOWS\system32\xprot.sys

Если какие-то из этих файлов у Вас есть - сообщите.[/quote]

можно перезалить куданибудь еще, вирус убивает сетап панельки

[url]http://uploading.com/ru/files/VVKG3ZDO/1.zip.html[/url]
Попробуйте, это тоже IceSword. Сообщите, есть ли у Вас какие-нибудь из вышеперечисленных файлов.

[quote=kps;212171][URL]http://uploading.com/ru/files/VVKG3ZDO/1.zip.html[/URL]
Попробуйте, это тоже IceSword. Сообщите, есть ли у Вас какие-нибудь из вышеперечисленных файлов.[/quote]

[B]IceSword [/B]так же сворачивается как антивирусы

Тогда выполните совет от [b]V_Bond[/b] из поста Nr.7
Вот, еще можете почитать информацию [url=http://beta.drweb.com/news/show/3189/ru]здесь[/url] и [url=http://wiki.drweb.com/index.php/Dr.Web%C2%AE_Live_CD]здесь[/url].

@ [b]frozz[/b]

У вас редактор реестра работает? Пуск - Выполнить - [b]regedit[/b] (Enter). Если да, посмотрите, пожалуйста, имеется ли такой ключ:
[code][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"RestrictRun"=dword:00000001[/code]
Параметры могут выглядеть так:
[code][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\RestrictRun]
"1"="winword.exe"
"2"="excel.exe" [/code]
и т.д. Это список программ, которыми пользователь может пользоваться - другое не разрешается.
или
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\DisallowRun\"1" = "Wincmd.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\DisallowRun\"2" = "zlclient.exe"[/code]
И т.д. Это список запрещённых программ.

И командная строка работает? (Пуск - Выполнить - [b]cmd[/b])

Paul

[quote=p2u;212342]
[code][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\[B]Policies[/B]\Explorer]
"RestrictRun"=dword:00000001[/code][/quote]

отсутствует каталог [B]Policies, [/B]есть только [B]Group Policy.

[/B]Да, ком.строка работает

[quote=frozz;212348]отсутствует каталог [B]Policies[/B][/quote]
Гм... Вроде должен быть. Возможно зверь его скрыл от вас. Вы не попробовали входить через встроенный админ в Безопасном режиме?

Paul

еще светиться какойто странный процесс -
imapi.exe

[size="1"][color="#666686"][B][I]Добавлено через 32 секунды[/I][/B][/color][/size]

безопаный режим не запускается, bsod

[size="1"][color="#666686"][B][I]Добавлено через 56 секунд[/I][/B][/color][/size]

[quote=frozz] При перезагрузки и попытки загрузится в безопасном режиме, вылетает bsod c требованием проверить диск F:/

отключил все виртуальные приводы, но все равно - проверьте диск f:/..[/quote]
_

[quote=frozz;212357]еще светиться какойто странный процесс -
imapi.exe[/quote]
Если этот exe был бы подлинным, то тогда он отвечал бы за запись компакт дисков. Но у вас, скорее всего, какой-то червь типа Delf.
[quote=frozz;212357] безопаный режим не запускается, bsod[/quote]
Простите, видимо пропустил.
P.S.: Как вам уже говорили, попробуйте загрузиться с live-cd ... и выполнить проверку Сure-It ...

Paul

ну да, более ничего не остается.
качаю др.веб лайв сиди.
отпишу

[quote=frozz;212372]ну да, более ничего не остается.
качаю др.веб лайв сиди.
отпишу[/quote]
ОК. Удачи!

Paul

Результат проверки -

/win/c:/037589.log - win32.HLLP.Rox.8
/win/c:/pagefile.pif - win32.HLLP.Rox.8
/win/c:/autorun.inf - win32.HHLW.Autoruner.868

оборвал проверку по необходимости на 51% так как больше ничего не находилось, вирус не исчез, сейчас проверяю по новой...

При проверке CureIT (получилось всетаки)
выдает результаты

C:\WINDOWS\system32\com\lsass.exe - win32.HLLP.Rox.8 (как только вылетает окно предупреждения с выбором вариантов - вылечить, удалить и тд, оно тут же закрывается, те с этим файлом ничего не происходит)
C:\WINDOWS\system32\com\smss.exe - win32.HLLP.Rox.8 - удален
C:\WINDOWS\system32\dnsq.dll - win32.HLLP.Rox.8 - удален

далее компьютер уходит в BSOD

через AVZ получилось сделать карантин этих файлов, но удалить так и не получилось :(

может что подскажете еще? меня уже достал этот вирус :(

Скачайте и попробуйте запустить самую свежую версию [url=http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/]AVPTool[/url]. Если получится, то сделайте им полную проверку компьютера и затем сделайте лог: [url]http://avptool.virusinfo.info/ru/AVPTool_manual.htm[/url].

Так же... Утилита просто открывается на долю секунды, потом закрывается

[QUOTE=frozz;219521]через AVZ получилось сделать карантин этих файлов, но удалить так и не получилось :( [/QUOTE]

Т.е. AVZ удалось запустить? Если так, то сделайте логи по правилам.

[quote=kps;219938]Т.е. AVZ удалось запустить? Если так, то сделайте логи по правилам.[/quote]

AVZ запускался, но при проверки на руткит зависал (стандартный скрипт проверки, первый шаг)
Карантин был сделан посредствам скрипта.

сейчас сделал проверку CureIT с флеш носителя защищеного от записи,предварительно уничтожив все уничтожаемые процессы системы (включая explorer.exe), поставил процессу антивируса приоритет реального времени...
(после начала проверки останавливал ее и в настройках менял параметр - запрашивать действие, на просто удаление всех неизлечимых, т.к вирус закрывал окно запроса действия с зараженным файлом)

при проверке, после удаления половины файлов win32.HLLP.Rox.8

этих
[code] QuarantineFile('C:\WINDOWS\system32\com\lsass.exe','');
QuarantineFile('C:\WINDOWS\system32\com\smss.exe','');
QuarantineFile('C:\WINDOWS\system32\dnsq.dll','');
DeleteFile('C:\WINDOWS\system32\com\lsass.exe');
DeleteFile('C:\WINDOWS\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');[/code]

компьютер ушел в BSOD где то на 25% проверки

После перезагрузки снова поставил CureIT тем же самым методом, что интересно, те файлы которые он удалил во время прошлой проверки не высветились, но так же он обнаружил
win32.hllw.aurorunner.131
win32.hllw.aurorunner.868
backdoor.generic.(не помню какой)
Trojan.Sniff
и еще логи win32.HLLP.Rox.8
и c:/037589.log - win32.HLLP.Rox.8
c:/pagefile.pif - win32.HLLP.Rox.8
и пару c:/lssas.exe.(какие то цифры).exe -win32.HLLP.Rox.8

Карантина CureITа нет, тк все файлы летели в удаление.

После перезагрузки запустил AVZ - на радость мне проверка пошла успешна, но как оказалось после очередной перезагрузки пофиксить перехватчики так и не удалось.

Но теперь у нас есть логи!аллилуя

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\system32\Drivers\UP55bus.sys','');
DelBHO('{EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A}');
DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
DelBHO('{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F}');
QuarantineFile('C:\Windows\system32\dnsq.dll','');
QuarantineFile('D:\Driver\Gart\EnumChip.sys','');
QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\hpdj.exe','');
QuarantineFile('C:\Windows\system32\in_keys.dll','');
QuarantineFile('C:\Windows\ATL.DLL','');
QuarantineFile('C:\Program Files\Google\Google Updater\2.2.1111.1511\ci.dll','');
QuarantineFile('c:\program files\kvolume\kvolume.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=21151[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

В AVPTool пробовали сделать полную проверку? (закладка "Автоматическая проверка").

Файл сохранён как 080425_042436_virus_4811a354d8b10.zip
Размер файла 645461
MD5 76c28a100b534b78cb9144c2f8080ed6


[quote=kps;219991]
В AVPTool пробовали сделать полную проверку? (закладка "Автоматическая проверка").[/quote]

полную нет, только Мои документы и Загрузочные секторы.

Поставил на проверку, карантин загрузил.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]