И снова ошибка setupapi.dll

Printable View

19.06.2008, 18:22
ПblBO

И снова ошибка setupapi.dll

Ну уж извините - пытался спросить в уже существующей теме - но прав не хватило
таже - самая беда
сканил винт кис 7.0.0.125
и нод 3.0.560.0
- они по очереди находили - убивали разных зверьков - а их было вариантов много всяких
результат
1. не открывается: свойства системы - практически все "проги" в панели управления
2. ну и естесно - эта замечтательная ошибка ((((
плиз хелп.
3. сделал встановление(с диска) системы + сп2 сверху поставил.
часть заработала - но ошибка осталась.
19.06.2008, 18:53
kps

Прикрепите логи по правилам: [url]http://virusinfo.info/showthread.php?t=1235[/url]
19.06.2008, 19:19
ПblBO

вот вроде
19.06.2008, 20:27
PavelA

Самое главное - Восст системы надо отключить.

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\winasp.exe','');
QuarantineFile('C:\WINDOWS\System32\msdvdr.pif','');
DeleteService('msdvdr');
DeleteService('Google Online Services');
DeleteService('Eeg31');
DeleteService('Rhg07');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
DeleteService('tcpsr');
QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
QuarantineFile('WinNt64.dll','');
QuarantineFile('brwstat.dll','');
QuarantineFile('confbrw.dll','');
QuarantineFile('e1.dll','');
QuarantineFile('w3sskbda.dll','');
QuarantineFile('winasp.exe','');
QuarantineFile('wshtlprh.dll','');
DeleteFile('wshtlprh.dll');
DeleteFile('winasp.exe');
DeleteFile('w3sskbda.dll');
DeleteFile('e1.dll');
DeleteFile('confbrw.dll');
DeleteFile('brwstat.dll');
DeleteFile('brwmgr32.dll');
DeleteFile('WinNt64.dll');
DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rhg07.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Eeg31.sys');
DeleteFile('C:\Documents and Settings\Work1\Application Data\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\System32\msdvdr.pif');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(1);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин. Сделать новые логи.

Если вдруг не будут запускаться ехе-файлы, переименовать AVZ в AVZ.сом

Симантек антивирус у Вас живой или это только его остатки.
19.06.2008, 20:38
ПblBO

При загрузке скрипта - пишет ошибка. в позиции 36.13

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

семантик мертвый, проверка кисом и нодом - выполняется с другова компа - т.е сниматься винт с мертвой машины

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Ошибка скрипта: Undeclared identifier: 'ExecuteRepir', позиция [36:13]
19.06.2008, 20:49
PavelA

Поправлено.
19.06.2008, 23:33
ПblBO

из папки карантин нужны файлы ?
19.06.2008, 23:44
V_Bond

Восстановление системы - отключить ...
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('msdvdDrv');
BC_DeleteSvc('aic32p');
QuarantineFile('C:\WINDOWS\System32\drivers\glhpml.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\glhpml.sys');
DeleteFile('C:\WINDOWS\System32\msdvdr.sys');
DeleteFile('kdyea.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пофиксите ...
[code]
O2 - BHO: (no name) - {e3a729da-eabc-df50-1842-dfd682644311} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{4D8FB0DC-6E55-4AAF-90C3-E1693B56E5F9}: NameServer = 85.255.114.35,85.255.112.79
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.35 85.255.112.79
O20 - Winlogon Notify: brwmgr - C:\WINDOWS\
O20 - Winlogon Notify: davctool - C:\WINDOWS\
O20 - Winlogon Notify: jgdwadsn - C:\WINDOWS\
O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll
O20 - Winlogon Notify: WinNt64 - C:\WINDOWS\
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
19.06.2008, 23:57
ПblBO

Всебы нечего - но как отключить восстановление системы ??? если свойства компа не открываються.
и плиз ссылку на 3 пункт правил - а то я чета торможу
20.06.2008, 00:01
V_Bond

выполните скрипт ....(потом отключите восстановление )
[code]
begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]
правила - [url]http://virusinfo.info/showthread.php?t=1235[/url]
20.06.2008, 06:59
ПblBO

Мнебы очень хотелось понять что при этом изменилось, т.к все что мне надо заработало.
begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.

[[COLOR="Red"]moderated: Карантин присылается согласно приложения 3 правил[/COLOR]]
20.06.2008, 07:14
ПblBO

кстати "O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll"
это кряк для первого сервис пака. а изначально машина ей и была ))))
я так понимаю это надо делать не в авз

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Файл сохранён как 080619_221308_virus_485b204409235.zip
MD5 aee8726152adc6792c0989ce79d8cd26
Простите я тормоз.
20.06.2008, 09:38
V_Bond

указания из поста 8 выполнялись ... ?
выполните их и повторите логи ...
20.06.2008, 10:42
ПblBO

Странно восстановление системы было отключено - но щас проверил - включено ((((, отключил еще раз.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

карантин еще нужен ? а то сверху надпись так и висит.
20.06.2008, 10:47
ПblBO

вот, правда там опять ссылки на восстановление ((((
20.06.2008, 10:54
PavelA

Продолжение:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Video Process', 4);
DeleteFile('C:\WINDOWS\System32\winasp.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После скрипта прислать новые логи.
20.06.2008, 11:12
ПblBO

Павел плиз скажите 10 пункт этой темы что сделал/исправил в системе что стали открываться нужные стандартные "программы"
20.06.2008, 11:24
PavelA

Расскажу топ-секрет:
Заходишь в AVZ - Файл - Восст. системы, там видишь пункты, которые тебе посоветовали сделать.
20.06.2008, 11:29
ПblBO

ясно, спасиб
20.06.2008, 11:45
ПblBO

вот
20.06.2008, 11:59
V_Bond

выполните скрипт ...
[code]
begin
DeleteFile('C:\System Volume Information\_restore{A875CF4A-55C6-4821-90E4-283FBABEB3C1}\RP97\A0033197.dll');
BC_ImportDeletedList;
BC_Activate;
RebootWindows(true);
end.
[/code]
какие - то проблемы остались ?
20.06.2008, 12:19
ПblBO

Если чесно видимые проблемы исчезли после выполнения 10 пункта этого топика.
22.02.2009, 06:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\system volume information\\_restore{a875cf4a-55c6-4821-90e4-283fbabeb3c1}\\rp97\\a0033196.pif - [B]Backdoor.Win32.HacDef.tovx[/B] (DrWEB: BackDoor.HackDef.547)[*] c:\\system volume information\\_restore{a875cf4a-55c6-4821-90e4-283fbabeb3c1}\\rp97\\a0033197.dll - [B]Trojan-Spy.Win32.Iespy.qo[/B] (DrWEB: Trojan.Iespy.182)[/LIST][/LIST]