Printable View
Ситуация следующая : на рабочей станции стоит 2003 винда, установлена была до меня. В Безопасном Режиме AVPTool запускается, находит зараженные файлы, лечить отказывается. В нормальном режиме ни AVZ ни HiJackThis не запускаются.
Подскажите что делать. СРОЧНО![U][B][/B][/U][I][COLOR=gray]
[/COLOR][/I]
делайте логи хотя бы в safe mode
ни AVZ ни HiJack не запускаются и в безопасном режиме тоже
запустил... изменив расширение. и немного откорректировав права
специальная avz запускается? у меня в подписи.
у меня все уже запустилось .. сейчас выложу логи
вот собственно логи
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\ira\WINDOWS\System32\Drivers\Beep.SYS','');
QuarantineFile('C:\WINDOWS\system32\wini10542.exe','');
QuarantineFile('C:\Documents and Settings\ira\Local Settings\Temporary Internet Files\Content.IE5\XAVII3ID\Install[1].exe','');
QuarantineFile('C:\Program Files\AntiSpywareXP2009\AntiSpywareXP2009.exe','');
DeleteService('Winsu64');
QuarantineFile('C:\Documents and Settings\ira\WINDOWS\System32\Drivers\Winsu64.sys','');
TerminateProcessByName('c:\windows\system32\brastk.exe');
DeleteFile('C:\Documents and Settings\ira\WINDOWS\System32\Drivers\Winsu64.sys');
DeleteFile('C:\Program Files\AntiSpywareXP2009\AntiSpywareXP2009.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\Documents and Settings\ira\Local Settings\Temporary Internet Files\Content.IE5\XAVII3ID\Install[1].exe');
DeleteFile('C:\WINDOWS\system32\wini10542.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
Карантин отправил
Файл сохранён как081028_142344_virus_490766c0e9f01.zipРазмер файла1252777MD5828744413cb16c18ab632d2290513e78
логи
ребята ну как там?
а то я отсюда не уеду пока не убью эту гадость ....
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\Beep.sys','');
QuarantineFile('C:\WINDOWS\system32\karna.dat','');
DeleteService('MessengerNtmsSvc');
QuarantineFile('C:\WINDOWS\system32\1025b.exe','');
QuarantineFile('c:\windows\system32\kmdevmonsrv.exe','');
TerminateProcessByName('c:\windows\system32\brastk.exe');
DeleteFile('c:\windows\system32\brastk.exe');
DeleteFile('C:\WINDOWS\system32\1025b.exe');
DeleteFile('C:\WINDOWS\system32\karna.dat');
DeleteFile('C:\WINDOWS\system32\brastk.exe');
DeleteFile('C:\WINDOWS\system32\wini10542.exe');
DeleteFile('C:\Documents and Settings\ira\Local Settings\Temporary Internet Files\Content.IE5\JPZD6NFG\Install[1].exe');
BC_DeleteFile('C:\WINDOWS\system32\Drivers\Beep.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
логи
Файл сохранён как 081028_153644_virus_490777dcaafea.zip
Размер файла 1435114
MD5 c9246240e8105f2ade3c6e4928d82793
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\brastk.exe');
DeleteFile('c:\windows\brastk.exe');
DeleteFile('C:\WINDOWS\karna.dat');
DeleteFile('C:\WINDOWS\brastk.exe');
DeleteFile('C:\Documents and Settings\ira\Local Settings\Temporary Internet Files\Content.IE5\XAVII3ID\Install[1].exe');
DeleteFile('C:\WINDOWS\system32\wini10542.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи
вот логи.
Предупреждение системы исчезло, красный крест из трея пропал.
пофиксите
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O4 - HKLM\..\Run: [brastk] brastk.exe
O20 - AppInit_DLLs: karna.dat
O20 - Winlogon Notify: WinCtrl32 - C:\Documents and Settings\ira\WINDOWS\
[/code]
hijackthis.log повторите
вот лог. надеюсь последний ...
Спасибо Вам ОГРОМНОЕ.
ну так как ? эт все ... или ...
[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]
После перезагрузки - Винда не пускает внутрь ... выбрасывает в вин-логон
[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]
Ни в СейфМоде ни как по другому
По сети до машины достучаться можете? Если да - подключитесь к её реестру и восстановите правильное значение в ключе [B]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/B]
Параметр [B]Userinit[/B]
Значение [B]C:\WINDOWS\system32\userinit.exe,[/B]
Если доступа по сети нет, придётся это делать с помощью Live CD или временного перетыкания диска на другую машину.
реестр поднял с винта упавшей машины с использованием ЛАЙВ СД. подключил куст (файл C:\windows\system32\config\system ). Потерялся в ветках. подскажите где в подключенном реестре искать ту самую функцию HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
так как в подключенном реестре нет таких строк.
[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]
Все ... проблема решена. Последний вопрос снимается с повестки дня. не ту я ветку грузил.
Ребята я понимаю что наверное поздно сообщаю, но за последние пару недель не мог наблюдать данную машину.
После удаления вируса на компьютере с периодичностью подвисают программы, пропадают из меню иконки, именно значки, при наведении мышкой всплывают подсказки и т.д., а кнопок не видно. При печати периодами лезут чистые листы, переустановка дров не помогла. Жалоба поступила вчера, и я пока не могу выложить логи ... но может есть какие-то опциональные решения или предположения ...
Вот те логи которые удалось выудить.
При параллельно включенных 1С и браузере (Опера 6.61 если мне память не изменяет), а иногда и только опере, компьютер виснет, окна оставляют при переносе на экране следы, на клавиатуру практически не реагирует ...
НИД ХЕЛП! плиз
Вот полные логи ...