Printable View
При загрузке системы появляется синий экран
с надписью
Warning! Spyware detected on your computer!
Install an antivirus or spywareremover to clean your computer.
В свойствах экрана не доступны закладка "Заставка" и "Рабочий стол"
Касперский тоже в автозагрузку не выходит.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('C:\WINDOWS\system32\blphc7olj0eg69.scr','');
QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\blphc7olj0eg69.scr');
DeleteFile('C:\WINDOWS\services.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O2 - BHO: myiebho - {7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD} - %SystemRoot%\system32\vmmreg32.dll (file missing)
O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServices: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServicesOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKCU\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKCU\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] %SystemRoot%\system32\winhelp32.exe
O4 - HKUS\S-1-5-18\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')[/CODE]
Загрузите карантин согласно приложению №3 правил.
AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".
Повторите логи.
Добрый день!
Максим, сделал как вы написали:
выполнил скрипт, после этого хотел пофиксить в HijackThis, но ссылок этих уже не было
на данный момент, Касперский запускается с автозагрузки и появляется в трее, Kerio WinRoute Firewall тоже запускается но в трее не появляется, не запускаются программы из Автозагрузки (MailServer)
синий экран не пропал, также остались заблокированными закладки "Заставка" и "Рабочий стол".
Новые логи
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]
[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]
[QUOTE=-SAS-;269197]на данный момент, Касперский запускается с автозагрузки и появляется в трее, Kerio WinRoute Firewall тоже запускается но в трее не появляется[/QUOTE]До вируса они работали вместе без проблем?[QUOTE=-SAS-;269197]не запускаются программы из Автозагрузки (MailServer)[/QUOTE]Так добавьте в автозагрузку.[QUOTE=-SAS-;269197]синий экран не пропал[/QUOTE]В смысле BSOD?[QUOTE=-SAS-;269197]также остались заблокированными закладки "Заставка" и "Рабочий стол"[/QUOTE]Скрипт должен исправить.
[quote=Maxim;269229][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[/quote]
Скрипт выполнил.
[quote]До вируса они работали вместе без проблем?[/quote]
Да работали вместе нормально.
[quote=Maxim]
[quote=-SAS-]Не запускаются программы из автозагрузки[/quote]
Так добавьте в автозагрузку.
[/quote]
В смысле эти программы были (и есть) указанны в автозагрузке (Пуск-> Программы->Автозагрузка)
и почему-то не стартуют при перезагрузке.
[quote]В смысле BSOD?[/quote]
А что такое BSOD?
Синий экран тот о котором речь шла в первом посте с надписью
Warning! Spyware detected on your computer!
Install an antivirus or spywareremover to clean your computer.
[QUOTE]В смысле эти программы были (и есть) указанны в автозагрузке (Пуск-> Программы->Автозагрузка)
и почему-то не стартуют при перезагрузке.[/QUOTE][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
RebootWindows(true);
end.[/CODE]
[QUOTE]Синий экран тот о котором речь шла в первом посте с надписью[/QUOTE]Попробуйте сменить картинку рабочего стола.
Скрипт выполнил.
Программы из (Пуск-> Программы->Автозагрузка) все равно не стартанули. :(
Kerio WinRouteFirewall тоже не стартует, надо руками его запускать и многие еще программы которые раньше стартовали сейчас их нет, может еще какой запрет где-то остался?
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 3 минуты[/I][/B][/color][/size]
Запустил сейчас Касперского на поиск вирусов
обнаружено: троянская программа Trojan-Downloader.Win32.Mutant.axi
Файл: C:\Documents and Settings\vladimir\S87ekhV.exe//PE_Patch//MewBundle//MEW//#
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\blphcjtkj0e7cp.scr');
DeleteFile('C:\WINDOWS\system32\lphcjtkj0e7cp.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]
Повторите логи.
Скрипт выполнили.
Программы из (Пуск-> Программы->Автозагрузка) все равно при загрузке сами не запускаются.
Логи повторяем.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
ExecuteRepair(1);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/CODE]
Содержимое вышеуказанной папки запакуйте в архив и прикрепите к сообщению (там д.б. только *.lnk - файлы).
Высылаю архив с папкой автозагрузка
Не называйте файлы русскими буквами, плиз.
Повторите закачку - я архив не могу открыть.
ок, повторяю
о блин, теперь у меня проблемы не могу вставить переименованный файл auto_run.zip
вот так
[QUOTE=-SAS-;270159]вот так[/QUOTE]Выкиньте файл [CODE]ofmsrv[/CODE] фтопку.А это что -вся Автозагрузка? Тогда ясно, почему ничего не стартует :) - потому что нечему стартовать.
Посмотрите еще папки автозагрузки в других учетках.
Скачайте отсюда: [url]http://www.nbnews.info/download/codestuff-starter-5-6-2-8[/url]
Тут видно у кого что в Автозапуск прописано+можно самому что надо прописать.
OFMSRV, похоже, и есть искомый MailServer. Надо смотреть в реестре, куда показывают ключи:
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Common Startup[/code]
и
[code]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Startup[/code]
вот еще из общей автозагрузки
Ну да Ofmsrv это и есть мэйлсервер, поэтому он и стоял в автозагрузке, сейчас его приходится пускать руками, просто выбирая из этой же папки Пуск - Автозагрузка.
[quote=pig;270334]OFMSRV, похоже, и есть искомый MailServer. Надо смотреть в реестре, куда показывают ключи:
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Common Startup[/code]
[/quote]
Common Startup C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка
[quote]
и
[code]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Startup[/code][/quote]
Startup C:\Documents and Settings\vladimir\Главное меню\Программы\Автозагрузка
Хм. Похоже на правду. В MSConfig, что ли, ещё заглянуть - вдруг там вырублено. Невзирая на наличие ярлыков...
вот
Эта всё видит... А скажите, иконка SQL-сервера в трее есть? Ну, или sqlmangr.exe и reader_sl.exe в процессах?
Иконки сиквела в трее нет. процессов тоже. правда в самом SQL Agent отключен его автозапуск. средства SQL на этой машине используются только для доступа у удаленному серверу.
У меня идеи закончились :(