скрипт под ХР запустил под w2k3 как откатить?

не сервак влез вирус locale.exe
на своей машине я его вылечил с помощью скрипта, кот. подсмотрел здесь на форуме - все получилось
потом сдуру взял и выполнил его на серваке...

Bratez писал:
>Нельзя выполнять ExecuteRepair(6) на серверной ОС! Что для ХРюши >хорошо, для 2k3 - смерть. Посмотрите, есть ли в папке с AVZ >подпапка Backup, если да - может быть с ее помощью удастся >восстановить удаленные ключи реестра, связанные с policies.
>Можете обратиться в раздел "Помогите", у нас на форуме есть >хорошие спецы по серверам.

при запуске сервак выдает ошибку запуска в одной или нескольких сетевых службах.
а при работе напроч отказывается видеть сеть
с него пинговал - на пинги ответ: заданный узел недоступен

после выполнения скрипта запускал еще мастер поиска и исправления проблем - и фиксил, что он нашел

вопрос: КАК откатить если это возможно. если нет то буду переставлять ось =(

Не помешало бы если бы вы поместили сюда этот скрипт. Просто интересно посмотреть. Помочь вам сложно, быстрее будет переустановить Windows.

Если Вы хотели посмотреть скрипт, то последнее предложение было лишним. Теперь точно скрипт не увидим.

привожу скрипт, который я запускал в AVZ
бекап сохранился
begin
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Пупков)))\Шаблоны\Brengkolang.com','');
DeleteFile('C:\Documents and Settings\Пупков)))\Шаблоны\Brengkolang.com');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(0);
ExecuteRepair(17);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policie s\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
BC_Activate;
RebootWindows(true);
end.

хмм надо у Олега спросить, что это за секретная функция
[code]ExecuteRepair(0);[/code]

Проблема в том, что ExecuteRepair(6) удаляет из реестра policies, причем не только HKCU\SOFTWARE\Microsoft\Windows\Current Version\policies, но и из HKLM, а у серверной ОС там очень много важных вещей прописано.
[quote=fess2005;227770]
бекап сохранился
[/quote]
В папке BackUp находятся reg-файлы, содержащие ключи реестра, которые были удалены (изменены) скриптом. Их можно просто "запустить" и согласиться с добавлением в реестр. Думаю, проблема должна тем самым решиться.

[size="1"][color="#666686"][B][I]Добавлено через 35 секунд[/I][/B][/color][/size]

akoK, там было ( 8 ) на самом деле.

Всем СпасиБо за поддержку!!
понажимал все ключики - ошибка осталось
...придеться переставлять ось =(
...а так не хочеться!!! и время нет

Перезагрузиться не забыли после этого?

а как же! конечно

Добрый день! спешу сообщить радостную весть: так как сервер я не стал сразу мочить - он успел очухаться и заработал!!!!
Всем спасибо за поддержку

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Кстати - тлетворное влияние вируса при новой перезагрузке все снова и снова показывает - что гада то не замочили...
как мог вручную остановил его но удалить пока не получается
на серваке стоит симантек - а он как то против авторанов не очень...

Самое время сделать логи по правилам ;)

тему эту увидел создатель этого вируса "locale.exe" - вреда он вроде как не делает, а только неудобства со скрытыми файлами и реестром..
он дал мне лекарство от этой бяки - буду пробовать

LOL!!!
fess2005, вы над нами издеваетесь чтоли?

а где собственно вы нашли, что я издеваюсь?
у меня была проблема - я ее пытался решать - когда напортачил - обратился к вашему форуму - как откатить - результат= сейчас сервак работает. А неполадки исходные так и остались - работе они особо не мешают - просто масса неудобств
недавно зашел посмотреть новости на форуме - а мне сообщение в приват с предложением по удалению конкретно этого виря

на хрюше сработало - на серваке запущу только после пробы на виртуальной машине

1. Запустили чужой скрипт - нарушение Правил.
2. Вам предложили сделать логи по правилам - НОЛЬ внимания.
3. Какойто проходимец вам прислал сообщение - вы делаете что он говорит:
[quote=Правила]Если Вы отказываетесь выполнять указания хелперов, или делаете все по-своему, не удивляйтесь тому, что Ваша тема может быть закрыта.[/quote]

понял.
в четверг будут логи.
зы: НОЛЬ внимания - я на месте происшествия не каждый день бываю

logs

autorun.inf - ваши?

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Кто не спрятался я не виноват :)
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить в HijackThis следующие строчки[/URL]
[CODE] F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntfsours.exe,[/CODE]


[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('R:\autorun.inf','');
QuarantineFile('P:\autorun.inf','');
QuarantineFile('M:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\ntfsours.exe','');
QuarantineFile('C:\WINDOWS\TEMP\MBX@580@F83338.###','');
QuarantineFile('C:\WINDOWS\system32\storelib.dll','');
QuarantineFile('C:\WINDOWS\system32\locale.exe','');
DeleteFile('C:\WINDOWS\system32\locale.exe');
DeleteFile('C:\WINDOWS\system32\ntfsours.exe');
DeleteFile('P:\autorun.inf');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('M:\autorun.inf');
DeleteFile('R:\autorun.inf');
BC_ImportALL;
ExecuteRepair(8);
ExecuteRepair(17);
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
Повторите логи

небольшие пояснения
ось в2к - сервак АД - на данный момент единственный
боролся с вирями вручную - на всех дисках + сетевые папки - мочил тело виря(при исходном названии) и в безопасности убирал у всех право запись, чтение, выполнение - чтоб вирь себя не записал заново
то же и в систем32 - локале.ехе

ps: думаю будут проблемы с DeleteFile('C:\WINDOWS\system32\locale.exe');
DeleteFile('P:\autorun.inf');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
DeleteFile('M:\autorun.inf');
DeleteFile('R:\autorun.inf');

Хорошо уберите все DeleteFile и ExecuteRepair, ExecuteSysClean; соберите карантин и отправьте согласно п.3 правил...вирлаб проанализирует и подготовит лекарство

[size="1"][color="#666686"][B][I]Добавлено через 41 секунду[/I][/B][/color][/size]

P>S> будет перезагрузка

Результат загрузки
Файл сохранён как 080522_082515_virus_4835743b2c61b.zip
Размер файла 321311
MD5 b3b55dcab51cc1d4abcb519e1f7a61d3

Файл закачан, спасибо!

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

кстати, на другом компе нашел сам вирус - тело и его авторан - могу прислать архивом

C:\WINDOWS\system32\ntfsours.exe - [b]Virus.Win32.AutoIt.h[/b]

удалил..
а как насчет прислать архив с бякой?
- то есть - я на другом компе нашел копию этого виря и его в архивчик закинул..
могу прислать если надо.. а то карантин с сервера тела вируса не содержит - я его из мест распространения вручную поудалял...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ntfsours.exe - [B]Virus.Win32.AutoIt.h[/B] (DrWEB: Win32.HLLW.Autoruner.1702)[/LIST][/LIST]