Не могу загрузиться в безопасном режиме

Printable View

01.03.2009, 20:52
cr2u

Не могу загрузиться в безопасном режиме

Сегодня словил вирус. Вышел на ваш сайт. Руководствуюсь правилами.
[quote][B]2. Проверьте [/B]компьютер с помощью AVPTool или CureIt! [URL="http://virusinfo.info/showthread.php?t=9279"]в безопасном режиме[/URL]. К найденному следует применять действие "Лечить", а неизлечимые перемещать или удалять. После этого перезагрузитесь в обычный режим.
[/quote]Сразу же на 2-ом пункте затык, не могу загрузиться в безопасном режиме. Компьютер пытается это сделать, потом бац и...синий экран смерти. Как быть?
01.03.2009, 21:00
Rene-gad

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
ExecuteRepair(10);
RebootWindows(true);
end.
[/CODE]
01.03.2009, 21:27
cr2u

Вложений: 1

К сожалению не могу это сделать. При попытке скачать AVZ по первой ссылки выдает:[I] "Время ожидания ответа от сервера devbuilds.kaspersky-labs.com истекло"[/I]. Скачиваю с depositfiles, вроде бы все ок, при распоковке выдает [IMG]http://virusinfo.info/attachment.php?attachmentid=114428&stc=1&d=1235931888[/IMG]
Как следствие AVZ не запускается, как быть?

Поползал по поиску, нашел альтернативные ссылки на AVZ (pif) - скачал, не запускается. Кстати, HijackThis тоже не запускается - "Программа не запускается". Как быть?
02.03.2009, 02:01
pig

Скачайте CureIt на другой (чистой) машине, запишите на болванку и, запустивши с неё, сделайте полную проверку в обычном режиме. Лог проверки (в ZIP-архиве без пароля) прикрепите.
03.03.2009, 14:31
cr2u

Записал на болванку CureIt на чистой машине. На чистой машине работает, на инфицированной - нет, просто не запускается.
Так же записал iso образ DrWeb LiveCD(правда уже на инф. машине), при загрузке в безопасном режиме скан вирусов не находит, а при попытке загрузки графической оболочки ведет себя очень странно - сканер запускаетя с ОГРОМНЫМИ буквами, т.е. видно толко небольшая часть программы, изменить ничего не получается. Что посоветуете?
03.03.2009, 14:44
Rene-gad

[QUOTE=cr2u;365358]На чистой машине работает, на инфицированной - нет, просто не запускается. [/QUOTE]А может у Вас не вирус, а железо накрылось или какие-то системные файлы?

[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]

[QUOTE=cr2u;365358] при попытке загрузки графической оболочки ведет себя очень странно - сканер запускаетя с ОГРОМНЫМИ буквами, т.е. видно толко небольшая часть программы[/QUOTE]Поняно - графика работает в разрешении 640х800
03.03.2009, 15:28
cr2u

[quote=Rene-gad;365363]А может у Вас не вирус, а железо накрылось или какие-то системные файлы?[/quote]
Это стало проиcходить после запуска одного "кряка.exe". Сразу же отвалился Outpost и Avast, больше они не запускаются - "не являются приложением win32". Далее в диспетчере какая-то ерудна началась, загрузка идет волнами, причем с постоянной частотой от 0 до 100%, грузит taskmgr.exe. Очень похоже на вирус, имно.

Проблема точно не в железе, т.к я словил такую хрень на 2-х машинах, ведут себя абсолютно одинаково. А если накрылись какие-то системые файлы, то это как это проверить?

[quote=Rene-gad;365363]Поняно - графика работает в разрешении 640х800 [/quote]
Но другие-то приложения в графике LiveCD запускаются в нормальном разрешении, их видно.
03.03.2009, 16:16
light59

Можете прислать этот "кряк.exe" ?
Если да, то заархивируйте его с паролем virus и пришлите по ссылке "Прислать запрошенный карантин"
03.03.2009, 20:40
cr2u

Отправил
03.03.2009, 20:50
Rene-gad

[QUOTE=cr2u;365574]Отправил[/QUOTE]то, что Вы закачали, я скачать не могу, возможно из-за русских букв в названии.
03.03.2009, 20:55
light59

key_gen.exe - Trojan-Downloader.Win32.Bagle.aoe
03.03.2009, 20:55
cr2u

[quote=Rene-gad;365580]то, что Вы закачали, я скачать не могу, возможно из-за русских букв в названии.[/quote]
Перезалил
03.03.2009, 21:14
Гриша

Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=40120[/url]
03.03.2009, 21:50
cr2u

Вложений: 1

Готово!
03.03.2009, 22:33
Гриша

Зайдите в раздел "File" нажмите "Scan" и сделайте этим файлам "Wipe File"

[CODE]C:\WINDOWS\system32\kdxdv.exe
C:\WINDOWS\system32\mdelk.exe
C:\WINDOWS\system32\wintems.exe
C:\Documents and Settings\Root\Application Data\drivers\wfsintwq.sys
C:\Documents and Settings\Root\Application Data\drivers\winupgro.exe
C:\Documents and Settings\Root\Application Data\m\flec006.exe
C:\WINDOWS\system32\DRIVERS\sr.sys[/CODE]

Перезагрузитесь и повторите лог...
04.03.2009, 00:16
cr2u

Вложений: 2

Прикладываю логи после "Wipe File"
Только C:\WINDOWS\system32\DRIVERS\sr.sys сканер не обнаружил.
А так же после перезагрузки системы вышло предупреждение по kdxdb.exe
04.03.2009, 00:21
Гриша

[CODE]C:\WINDOWS\system32\DRIVERS\sr.sys[/CODE]

В меню "Drivers" он будет...

Выполните рекомендации (не перезагружаться), уберите все exe с автозагрузки , перезагрузитесь и сделайте лог снова..
04.03.2009, 23:43
cr2u

Вложений: 1

Выполнил все рекомендации, прикладываю лог.
04.03.2009, 23:47
Гриша

Удалилось, давайте логи AVZ...
05.03.2009, 00:45
cr2u

Вложений: 3

Прикладываю логи:
05.03.2009, 11:52
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
DeleteService('srosa');
QuarantineFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL','');
QuarantineFile('C:\Documents and Settings\Root\Application Data\drivers\wfsintwq.sys','');
QuarantineFile('C:\WINDOWS\system32\apdfprintmon.dll','');
QuarantineFile('C:\WINDOWS\system32\wintems.exe','');
DeleteFile('C:\WINDOWS\system32\wintems.exe');
DeleteFile('C:\Documents and Settings\Root\Application Data\drivers\wfsintwq.sys');
DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
DeleteFileMask('C:\Documents and Settings\Root\Application Data\drivers\downld', '*.*', true);
DeleteDirectory('C:\Documents and Settings\Root\Application Data\drivers\downld');
DeleteFileMask('%Tmp%', '*.*', true);
BC_Importall;
ExecuteSysClean;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
BC_Activate;
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=40770"]http://virusinfo.info/upload_virus.php?tid=40770[/URL]/
Сделайте полную проверку AVPTool.
Повторите логи по правилам.
06.03.2009, 07:37
cr2u

Вложений: 3

1. Карантин отправил
2. AVPTool по ссылке недоступен, полечил CureIt
3. Прикладываю логи
06.03.2009, 14:09
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\sr.sys','');
DeleteFile('kdxdv.exe');
BC_ImportALL;
ExecuteSysClean;
BC_QrSvc('sr');
BC_Activate;
SetAVZPMStatus(true );
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
10.03.2009, 22:23
cr2u

Вложений: 3

Карантин отправил, логи:
11.03.2009, 14:36
AndreyKa

[url=http://virusinfo.info/showpost.php?p=64376&postcount=1]Пофиксте[/url] в HijackThis следующие строки:
[quote]
O17 - HKLM\System\CCS\Services\Tcpip\..\{DC3F7497-99AA-4E72-94FA-7C0DD0BD4FC1}: NameServer = 85.255.114.2,85.255.112.168 [/quote]
Установите Adobe Acrobat 9 или удалите старый.
После перезагрузки сделайте новый лог HijackThis.
11.03.2009, 20:39
cr2u

Вложений: 1

Все сделал, прикладываю
11.03.2009, 22:05
Гриша

Ничего плохого...
11.03.2009, 22:44
cr2u

Да, вроде сейчас все работает стабильно...

Всем Helper-ам огромное спасибо, большое дело делаете, удачи! Я счастлив :D
12.03.2009, 22:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \convert ppt to pdf for powerpoint 3.50\key_gen.exe - [B]Trojan-Downloader.Win32.Bagle.aoe[/B]( DrWEB: Trojan.Packed.650, BitDefender: DeepScan:Generic.Bagle.3B3DAAC1 )[*] c:\progra~1\mycent~1\infobar\mycentriainfobar.dll - [B]not-a-virus:AdWare.Win32.MyCentria.p[/B]( DrWEB: Trojan.Mycentria.origin, BitDefender: Application.Generic.27907 )[*] c:\progra~1\mycent~1\infobar\mycent~1.dll - [B]not-a-virus:AdWare.Win32.MyCentria.p[/B]( DrWEB: Trojan.Mycentria.origin, BitDefender: Application.Generic.27907 )[/LIST][/LIST]