Printable View
Приветствую!
Моя проблема очень похожа на рассматриваемую в этом треде:
[URL]http://virusinfo.info/showthread.php?t=42476[/URL]
после удаления отладчиков процессов в утилите AVZ, опять возникает та же проблема после перезагрузки компьютера. До запуска AVZ был удален файл digeste.dll из windows\system32.
AVZ пришлось запускать в полиморфном виде, а Hijackthis пришлось переименовать, т.к. иначе их не запустить. Также блокирован regedit и многое другое.
Выполнить:
[CODE][/CODE]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\qcsdonlypa.sys','');
DeleteService('vwanmpqiay');
QuarantineFile('C:\WINDOWS\system32\wpv641237862278.cpx','');
DeleteService('BrowserBITS');
QuarantineFile('\??\C:\WINDOWS\system32\drivers\qcsdonlypa.sys','');
QuarantineFile('00000495.sys','');
DeleteFile('00000495.sys');
DeleteFile('\??\C:\WINDOWS\system32\drivers\qcsdonlypa.sys');
DeleteFile('C:\WINDOWS\system32\wpv641237862278.cpx');
DeleteFile('C:\WINDOWS\system32\drivers\qcsdonlypa.sys');
DeleteFile('C:\WINDOWS\system32\MsSip1.dll');
DeleteFile('C:\WINDOWS\system32\MsSip2.dll');
DeleteFile('C:\WINDOWS\system32\MsSip3.dll');
BC_ImportDeletedList;
ExecuteRepair(9);
ExecuteRepair(17);
ExecuteRepair(6);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Сделать заново логи.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=42526[/url]
Спасибо. Все заработало. Но карантин выслал и логи выкладываю - вдруг Вам понадобятся.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('vwanmpqiay');
DeleteFile('C:\WINDOWS\system32\drivers\qcsdonlypa.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('vwanmpqiay');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите карантин и повторите пункт 2 диагностики...
QuarantineFile('c:\1\1\m.exe','');
c:\1\1\m.exe - Это переименованный мной AVZ-полиморф
Может другой скрипт запустить?
Поправил...
Готово. Скрипт выполнил. Карантин закачал.
Лог2 ниже.
В логах чисто, установите SP3+all updates...
Спасибо за помощь.
Установил SP3 и KAV2009. Компьютер проработал у пользователя нормально 2 недели.
Сейчас при запуске винды появляется стандартное окно - "Вход в Windows" - вводишь имя и пароль - сначала система загружается -а потом опять появляется окно "Вход в Windows". В safemode та же история.
1) Может это быть связано с ранее вылеченными зловредами?
2) Что можете посоветовать предпринять?
загрузиться с диска, загрузить реестр системы и проверить ключи ...
1 [CODE]HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/Current Version/Winlogon[/CODE]
значение параметра Userinit должно быть C:\WINDOWS\system32\userinit.exe,
2 [CODE]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\Session Manager\SubSystems][/CODE]
должно быть так ....
[CODE]"Windows"="%SystemRoot%\\system32\\csrss.exe ObjectDirectory=\\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16"[/CODE]
Спасибо. Не было первого ключа - userinit.
Система дает залогиниться, но грузится очень долго - не запускается служба RPC. В event viewer не могу посмотреть ошибки.
Остальное еще не смотрел.
Логи AVZ нужны или нет?
Сделайте...
Не удается скопировать AVZ, поэтому логов пока нет..
Также есть следующие симптомы:
1) Долго грузится windows после ввода пароля.
2) Языковая панель прилепляется к пуску, так, что не видно свернутых программ. И переместить её невозможно.
3) Не работает копи-паст.
4) Сервисы отключены все включая RPC, кроме антивируса, PnP, Журнал событий, DCOM, Те Lm
5) Запустить сервисы невозможно (RPC ошибка 5 )
Похоже на результаты действия какого-то вируса.
1. Нажмите кнопку "Пуск" и выберите команду "Выполнить".
2. В диалоговом окне "Открыть" введите команду cmd и нажмите кнопку "OK".
3. В командной строке введите sfc /scannow и нажмите "ENTER".
Windows будет проверять целостность системных файлов, понадобится диск с дистрибутивом.
Не запускается - быстро пролетает черный экран командной строки,
а экран "защита файлов windows", как у "здоровой" системы не появляется.
[QUOTE=Алексей Б.;384686]Не запускается - быстро пролетает черный экран командной строки,[/QUOTE]Пробел после sfc не потеряли?
Нет, пробел не потерял.
Специально отметил, что на другом компьютере эта команда запускается и начинает проверку файлов.
Черный экран закрывается, после cmd - sfc?
Запускаю cmd - в нем sfc - получаю список ключей.
На команду sfc /scannow - получаю ошибку - "Защита файлов не смогла запустить сканирование ...
Ошибка - 0х000004dd [Запрошенная операция не была выполнена, так как пользователь не подключен к сети. Указанная служба не существует]"
Уже подготавливаюсь к миграции на новую систему.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\qcsdonlypa.sys - [B]Rootkit.Win32.Agent.int[/B][*] c:\windows\system32\wpv641237862278.cpx - [B]Email-Worm.Win32.Iksmas.akl[/B] ( BitDefender: Trojan.Waledac.Gen.1 )[/LIST][/LIST]