Microsoft winword standart - проблема с документами - сгорают

во время работы в winword
1 начинают вылетать сообщения что НЕ УДАЕТСЯ ЗАВЕРШИТЬ СОХРАНЕНИЕ ИЗ-ЗА ОШИБКИ ДОСТУПА К ФАЙЛУ и остается только нажать на ок
2 заголовок окна winword меняется с ДОКУМЕНТ.DOC меняется на ~tmpxxxx.tmp
3 пока клацаешь на ок несколько раз .. вот столько рас сколько кликнул в диске C:\ появляются файлы копия, копия1 , копияN.doc порой до 10 штук.

что интересно форматировал комп и с компом было все ок пока с переформатированным компом не поделятся .doc файлами с другого уже такого так сказать зараженного компа, какой конкретно doc файл привел к такому не понятно,

что интересно если даже уже такое заражение произошло и перестать работать (пользоваться) winword а использовать либре офис то все ок.

ни один антивирус после полного сканирования пк включая все док файлы не находит вирус

микрософт отказался помогать так как офис 2003 версии.

но сотрудники не хотят ни то что на либре даже на офис 2007 переходить.[ATTACH=CONFIG]672185[/ATTACH]

Уважаемый(ая) [B]s1flashg[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи.[/URL]

запустил утилиту ... прогнал и вот вложил лог

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
O3 - HKCU\..\Toolbar: (no name) - {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} - (no file)
O4 - HKLM\..\Session Manager: [BootExecute] = (no file)
[/CODE]


AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ExecuteRepair(10);
RebootWindows(false);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.


- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.

выполнил все действия, и вкладываю лог

делал лог 6 версией так как 7 версия на экспи не запускается

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

про сканировал вот логи

ps примечание
[SPOILER] чтобы хоть както хоть частично сохранить данные в самом уорде в параметрах сохранения поставил галку создавать резервную копию и теперь к каждо созданному документу идет своя копия не вирусная, а резервная и вот когда работаешь с документом и случается сгорание документа ... и вот подробней:

вирус грохнул документ уже не первый раз заметил, что ведет именно так, и еще начали вылетать ошибки того что и копия не может быть сохранена, причем в сообщение об ошибке говорится что типа проблема с сетевым носителям типа переподключите сетевой, какой сетевой диск он локальный? и так физически исчез оригинал, а копия не открывается пишет ошибка, в этот момент диск С заполняется левыми файлами копия.doc ,копию не убил, но заблочил!!, но решил перепроверить, перезапустил комп и копия после открылась, значит в случае инцидента на документ, чтобы получить к данным через копию, нужно после инцидента ребутить пк, и так данные с копии можно вытащить, [/SPOILER]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
File: C:\windows\system32\mswsock.dll
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "" <==== ATTENTION
SearchScopes: HKLM -> DefaultScope value is missing
File: C:\windows\System32\termsrv.dll
File: C:\windows\System32\DRIVERS\lirsgt.sys
File: C:\windows\system32\Drivers\ute1nte3.sy
File: C:\windows\system32\winlogon.exe
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0000002F-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020420-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020421-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020422-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020423-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020424-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020425-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0002E005-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35200-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35201-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35202-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35203-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35204-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{44EC053A-400F-11D0-9DCD-00A0C90391D3}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{46763EE0-CAB2-11CE-8C20-00AA0051E5D4}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> no filepath
ContextMenuHandlers5: [ACE] -> {5E2121EE-0300-11D4-8D3B-444553540000} => -> No File
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:58A5270D [166]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

сделал лог прикладываю...

вопрос: а вот все эти действия если они помогут на этом компьютере помогут ли они на других также зараженных пк, компы клоны (дублированы акронисом)?

Похоже у Вас обнаружен [URL="https://www.virustotal.com/#/file/1d716c779a7524d1f1523c55903cb773de7c62437291474bb1dd619441ab0068/detection"]Win32/Spy.Ursnif.A[/URL]:


[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
Zip: C:\windows\System32\termsrv.dll
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

На рабочем столе образуется карантин вида <date>.zip загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

termsrv.dll - ну это я создал RDP в паралельной сессии изначально давно может лет 7 назад эта штука у меня, и на уорд это ни как ни вляло, это чтобы я мог в режиме терминала работать паралельно с пользователем ... иначе до компа не допускают

не убёт ли мне терминал такая вот команда ?

[SPOILER]
Код:

CreateRestorePoint:
CloseProcesses:
Zip: C:\windows\System32\termsrv.dll
R3 TermService; C:\windows\System32\termsrv.dll [295936 2008-06-09] (Корпорация Майкрософт) [File not signed]
C:\windows\System32\termsrv.dll
Reboot:[/SPOILER]

мне нужен этот терминал

[QUOTE=s1flashg;1484317]
вопрос: а вот все эти действия если они помогут на этом компьютере помогут ли они на других также зараженных пк, компы клоны (дублированы акронисом)?[/QUOTE]

Скорее всего не самая лучшая идея будет. Есть вероятность, что ОС может заражена разными вирусами.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE=s1flashg;1484342]
не убёт ли мне терминал такая вот команда ?
[/QUOTE]
Может убить, я изменил фикс, оставил только взятия в карантин. Могли бы пожалуйста отправить файл это в карантин?

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
Zip: C:\windows\System32\termsrv.dll
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Получается, так что данный файл некоторыми антивирусами определяют тип - [URL="https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=TrojanSpy:Win32/Ursnif.B"]spyware[/URL]. Я бы хотел бы отправить на анализ этот файл для подтверждения.

ZIP и сюда вложил и ... отправлю на ту проверку что вы указали выше...

этот терминал не позволяет наблюдать как к примеру можно делать в раадмине просматривать ... он позволяет управлять компом не мешая пользователю, т.е делать настройки в компе не беспокоя пользователя, (а точнее не уговаривая пользователя дать комп на минут 30 потому что он занят и не пустит)

[SPOILER]
Результат загрузки
Файл сохранён как 180705_121257_05.07.2018_17.00.48_5b3e0b497a714.zip
Размер файла 155087
MD5 f2377db6dc4b3978a232b478e33236a7
Файл закачан, спасибо![/SPOILER]

ps что интересно вот среди этого вируса который убивает уорд

100% на всех компах стоит терминал и терминал установлен 7 лет уже ... а проблема с уордом началась только в этом году 2018 в январе или в феврале... сперва я чистил пк (форматировал и с 0 ставил до тех пор пока не обменяются документами уорда зараженный и не зараженный пк)...
но проблема с уордом на 50-60% компов ... вот я просто не открываю ни один уорд тот что у тех у кого он заражен ... и те кто также не взаимодействуют с отделами которые заражены (не понятным уордовским вирусом) также не имеют проблем с уордом

Проблема с Word еще актуальна?

проблема актуально, на данном компе где я делал выше указанные вами тесты .. щас сотрудницы нет ... в отпуске но я знаю что там уорды сгорают ... сгорают в произвольное время 2-3 документа за 5 дней какой и когда сгорит не ясно

а что выше описанные тесты должны были починить комп?

если да то можно проделать те же действия и на других компах .. чтобы решить проблему?

Dr.Web - Program.TermSrvPatch.1

Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].

я вложил архив...
на предыдущий вопрос актуальна ли тема да она актуальна, в общем так как так сказать эпидемия есть так сказать ...
а вот ранее проделанные действия решили ли проблему с данным компом на котором проделываются действия я не знаю ..
я жду когда вы скажите что проблема решена или в чем именно проблема ...

проверять начну когда вы скажите но тут надо комп держать включенным неделю с запущенными уорд документами и ждать...

[B]спасибо что помогаете.[/B]

я вложил лог что вы просили ... дальнейшие рекомендации уже буду выполнять завтра ... сегодня рабочий день закончен.

[URL="https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v4.0.11 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v400c
OFFSGNSAVE
BREG
zoo %SystemRoot%\DEPO.SCR
delref %SystemDrive%\PROGRA~1\MSNGAM~1\WINDOWS\ZCLIENTM.EXE
delref %SystemDrive%\PROGRA~1\WINDOW~2\MPVIS.DLL
restart[/CODE]

Уточните пожалуйста, случайно проблемы не начались после установки антивируса KES?

уже из дома удаленно ...
Так скрипт я выполнил, но вы не сказали а после этого скрипта нужны какие нибудь логи ? [U]хотя никаких логов я не увидел[/U]

[B]Уточните пожалуйста, случайно проблемы не начались после установки антивируса KES? [/B]

Да!!! до этого был KAV6 и с ним не было проблем но потом написали что с 2018г KAV перестает поддерживаться, и пришлось на всех машинах KAV поменять на KES10

и KES у нас куплен еще на 2 года вперед так что поменять его не получится

и так скрипт выполнил, а что дальше

Должен был образоваться карантин, загрузите его по правилам.

Касаемо антивируса, пробуйте его временно удалить и понаблюдать. Важно при этом не пользоваться флэгками и интернетом, чтобы не заразить ПК на время тестов. Есть подозрения, что виновником является антивирусный продукт, в этом случае лучше обратиться в тех. поддержку ЛК.

[B]флэгками[/B] - это что такое ?

я писал в антивирус - не с претензиями, а с вопросом, они сказали что ничего не понимают и вообще раз их антивир ничего не нашел то и нечего с них спрашивать.

[B]антивир именно удалить или отключить?[/B]

а почему у вас такое подозрение возникло?

у меня возникает подозрение потому что все начилось с замены кав на кес?

а вы что увидели в логах что вы подумали на антивир?

[QUOTE=s1flashg;1484376][B]флэгками[/B] - это что такое ?
[/QUOTE]
Флэшками (flashdisk), случайно вышло.

[QUOTE=s1flashg;1484376]
я писал в антивирус - не с претензиями, а с вопросом, они сказали что ничего не понимают и вообще раз их антивир ничего не нашел то и нечего с них спрашивать.

[B]антивир именно удалить или отключить?[/B]

а почему у вас такое подозрение возникло?

у меня возникает подозрение потому что все начилось с замены кав на кес?

а вы что увидели в логах что вы подумали на антивир?[/QUOTE]

Раннее уже были схожие проблемы с корпоративными продуктами и ОС Windowx XP. Были даже темы на оф. форуме ЛК, о том, что в какой-то момент не возможно сохранить файл Word, Excel. В логах явных угроз не нашел, как и вирусов. Только, то что у Вас ОС Windows XP патченная.

На сколько мне известна выгрузка антивируса не помогает, только удаление.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Примеры тем:
[URL="https://forum.kaspersky.com/index.php?/topic/278742-%D0%BF%D1%80%D0%B8%D0%BB%D0%BE%D0%B6%D0%B5%D0%BD%D0%B8%D1%8E-word-%D0%BD%D0%B5-%D1%83%D0%B4%D0%B0%D0%BB%D0%BE%D1%81%D1%8C-%D0%B7%D0%B0%D0%B2%D0%B5%D1%80%D1%88%D0%B8%D1%82%D1%8C-%D1%81%D0%BE%D1%85%D1%80%D0%B0%D0%BD%D0%B5%D0%BD%D0%B8%D0%B5-%D0%B8%D0%B7-%D0%B7%D0%B0-%D0%BE%D1%88%D0%B8%D0%B1%D0%BA%D0%B8-%D0%B4%D0%BE%D1%81%D1%82%D1%83%D0%BF%D0%B0-%D0%BA-%D1%84%D0%B0%D0%B9%D0%BB%D1%83/"]
Приложению Word не удалось завершить сохранение из-за ошибки доступа к файлу[/URL]
[URL="https://forum.kaspersky.com/index.php?/topic/214065-%D0%BF%D1%80%D0%B8-%D1%81%D0%BE%D1%85%D1%80%D0%B0%D0%BD%D0%B5%D0%BD%D0%B8%D0%B8-%D1%83%D0%B4%D0%B0%D0%BB%D1%8F%D1%8E%D1%82%D1%81%D1%8F-%D1%84%D0%B0%D0%B9%D0%BB%D1%8B-doc/"]
При сохранении удаляются файлы *.DOC[/URL]

допустим я снесу антивир и поможет что делать другой антивир или совсем отказываться
что инетересно несколько компов на 7 ваще все ок
ладно попробую
и через месяц отпишусь тему пока не закрывай
спасибо за помощь

[QUOTE=s1flashg;1484379]допустим я снесу антивир и поможет что делать другой антивир или совсем отказываться
что инетересно несколько компов на 7 ваще все ок
ладно попробую
и через месяц отпишусь тему пока не закрывай
спасибо за помощь[/QUOTE]

Вы можете для начало попробовать выключить только файловый компонент антивируса и по наблюдать. А так лучше не тратье время и обратитесь в тех. поддержку ЛК.

Ответ касперского
[SPOILER]
Специалист техподдержки
1 марта 2018 г., 13:05:55

здравствуйте!

Если вирусов нет, то возможно проблема с самим Word. Боюсь я не смогу Вам помочь в расследовании этой проблемы не связанной с антивирусом. Попробуйте переустановить офис или обратиться к вендору за помощью. Думаю Microsoft может быть в курсе данной проблемы.


С Уважением,
Инженер технической поддержки
АО "Лаборатория Касперского"
Курских Александр [/SPOILER]

а в микрософт позвонил сказали раз у вас 2003 и экспи мы и разговаривать с вами не будем

Тогда попробуйте в начале сами убедиться, что проблема в продукте ЛК, затем снова с ними связаться. В любом случае ваша проблема не связанна с вирусами.

При сохранении удаляются файлы *.DOC

вот ты вверху писал читаю и понимаю что это как раз мой случай.

что еще интересно помню когда касперский тупо удалял любой файл с названием ie.exe брал текстовый документ переименовывал и файл удалялся касперским

пока не написал и они там поправки не внесли

хуже вируса это когда кривая программа.

[QUOTE=s1flashg;1484384]При сохранении удаляются файлы *.DOC

вот ты вверху писал читаю и понимаю что это как раз мой случай.
[/QUOTE]

Для начала попробуйте понять если действительно ваш случай, после этого уже искать решения.

на одном компе снес поллность кэс на другом оставил только антивирусный компонент проактивную заиту и интеликтуальную проверку отключил ..
теперь буду см за реакцийе компов

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]