Printable View
Добрый день!
Есть подозрение на вирус.
ошибка:
Explorer.exe - Ошибка приложения
Инструкция по адресу "0x772361fa" обратилась к памяти по адресу "0x772361fa".Память не может быть "read".
"ОК" -- завершение приложения.
Такое сообщение появляется у меня на 2-х компах.
Ниже логи первого компа.
Пожалуйста, помогите!
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\msddrv42.exe
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\msddrv42.exe');
QuarantineFile('C:\WINDOWS\msddrv42.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9560637577-2309965113-525913946-8260\mwau.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-9560637577-2309965113-525913946-8260\mwau.exe');
DeleteFile('C:\WINDOWS\msddrv42.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
К сожалению проделать это смогу только завтра вечером. Извините за задержку :(
Сделано
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\win64svc.exe');
QuarantineFile('c:\windows\win64svc.exe','');
DeleteFile('c:\windows\win64svc.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
PS: Насобирали Вы зверушек на серваке
[QUOTE]C:\RECYCLER\S-1-5-21-9560637577-2309965113-525913946-8260\mwau.exe - новый зловред Trojan.Win32.Agent.crim
c:\windows\msddrv42.exe - новый зловред Backdoor.Win32.SdBot.obb[/QUOTE]
В догонку: окно с вышеописанной ошибкой перестало появляться, но вирус в системе пока еще присутствует и нод его только находит, а прибить не может. Симптомы: только вставляю флешку, на ней сразу появляется файлик autorun.inf и папка driver, ну и нод сразу ругается мол это вирус. Вытаскиваю флешку, вставляю в другой комп где автозапуск отключен, удаляю файлик и папку, вставляю на зараженный и на флешке снова появляется autorun.inf и папка driver.
Сделано
Отключите автозапуск с флешек (АВЗ/Файл/Мастер поиска и устранения проблем, Все проблемы, найти Разрешен автозапуск со сменных носителей... , отметить, запустить.)
- Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\msddrv42.exe');
TerminateProcessByName('c:\windows\win64svc.exe');
DeleteFile('c:\windows\win64svc.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9560637577-2309965113-525913946-8260\mwau.exe');
DeleteFile('C:\WINDOWS\msddrv42.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите логи + лог gmer (см. инструкцию в Чаво.)
Сделано. Правда во время сканирования gmer'ом он несколько раз выдавал окно, мол системе не удалось найти указанный путь.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKLM\..\Run: [WindowsXP-SP3] win64svc.exe
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\msddrv42.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\msddrv42.exe
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
ClearQuarantine;
QuarantineFile('Serial.SYS','');
QuarantineFile('%SystemRoot%\System32\Drivers\Serial.SYS','');
end.
[/CODE]
После перезагрузки:
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Сделайте повторные лог
[b]hijackthis.log [/b]
Сделано. Карантин почему-то пустой, по-этому и не выслал.
Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\Windows\System32\Drivers\Serial.SYS
C:\WINDOWS\msddrv42.exe
c:\windows\win64svc.exe
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 3 правил).
Потом удалите с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL] файлы:
[CODE]
C:\WINDOWS\msddrv42.exe
c:\windows\win64svc.exe
[/CODE]
Сделайте повторные логи
Скачайте последнюю версию АВПТул и просканьте систему.
[QUOTE=dragonfly;437717]Карантин почему-то пустой, по-этому и не выслал.[/QUOTE]А Вы антивирус выключали?
[QUOTE='Rene-gad;437757']Цитата:
Карантин почему-то пустой, по-этому и не выслал.
А Вы антивирус выключали? [/QUOTE]
сорри, забыл :(
на этот раз уже выключил.
пока авптул сканит второй раз отсылаю вам логи и карантин. Кстати, этот файл: [B]c:\windows\win64svc.exe[/B] я не нашел.
авптул прошелся 2 раза, нашел кучу вирусов, но msddrv42.exe так и не пофиксил. После перезагрузки я его снова наблюдаю :(
[QUOTE=dragonfly;437788]авптул прошелся 2 раза, нашел кучу вирусов, но msddrv42.exe так и не пофиксил. После перезагрузки я его снова наблюдаю :(....[/QUOTE]Так Вы же его не нашли... :O[QUOTE]Кстати, этот файл: c:\windows\win64svc.exe я не нашел. [/QUOTE]
Последний карантин прислали неправильно: паролем не защитили.
я про msddrv42.exe, он то его нашел и обещал после перезапуска пофиксить, но так и не пофиксил. И еще, у меня в папке windows постоянно появляются файлы с расширением .scr и много, имена начинаются обычно с цифры. Нод находит, удаляет и они после перезагрузки снова появляются.
файловые вирусы поищите - [url]http://virusinfo.info/showthread.php?t=15927[/url]
- Выполните скрипт
[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
RebootWindows(true);
end.[/CODE]
После перезагрузки Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\msddrv42.exe');
TerminateProcessByName('c:\windows\win64svc.exe');
DeleteFile('c:\windows\win64svc.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9560637577-2309965113-525913946-8260\mwau.exe');
DeleteFile('C:\WINDOWS\msddrv42.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run',' Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','WindowsXP-SP3');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите логи
Выполнено.
Файл msddrv42.exe исчез :) Но появились другие проблемы. Перестала запускаться служба IPSEC.
При загрузке открывается папка Мои документы.
В корзине остаются 2 файла которые не могу удалить: csvcs.exe, mwau.exe
Файл msddrv42.exe отправил в доктор веб на анализ.
При вставлении флешки на ней снова появляются autorun.inf и папка winamp_cache_0001.
Автозапуск отключен.
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-1570411902-9232072237-804065591-4334\mwau.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0350791638-6861139860-687136515-1623\csvcs.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0350791638-6861139860-687136515-1623\csvcs.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1570411902-9232072237-804065591-4334\mwau.exe');
DeleteFile('win64svc.exe');
BC_ImportDeletedList;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Сделано.
Пункт 2 правил раздела диагностики смог выполнить только частично, так как из-за ошибки запуска службы IPSEC комп в и-нет не выходит. Логи отпраляю с другого компа.
Папка мои документы перестала открываться при запуске :)
Как все же вернуть службу IPSEC на родину? Есть подозрение что перестала работать после скрипта:
begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
RebootWindows(true);
end.
Если я отключаю эту службу, то после перезагрузки внутренняя сетка работает, а и-нет нет :(
При запуске службы IPSEC выдает такую ошибку: [B][I]Не удалось запустить службу IPSEC Services на Локальный компьютер. Ошибка 2: Не удается найти указанный файл.[/I][/B]
Проверил, все файлы на месте которые относятся к этой службе и соответствуют файлам из дитрибутива.
Помогите пожалуйста, очень нужно!!!
[QUOTE=dragonfly;438130]Как все же вернуть службу IPSEC на родину?[/QUOTE]Поиск ответа занял у меня 28 секунд:
[url]http://forum.ixbt.com/topic.cgi?id=22:73947[/url]
[url]http://technet.microsoft.com/en-us/library/cc757319%28WS.10%29.aspx[/url]
[QUOTE]
Есть подозрение что перестала работать после скрипта:[/QUOTE]Если и после скрипта, то не после этого.
Да я уже все это перепробовал :( Дисков восстановления у меня нет :(
[QUOTE=dragonfly;438156] Дисков восстановления у меня нет :([/QUOTE]
Ну так чем мы тут можем Вам помочь?
а что с моими логами? вы так и не ответили
В логах заразы больше не видно.
По поводу службы IPSec: я бы предложил удалить ее ключ в реестре и импортировать этот ключ из нормально работающей системы той же версии, только вот система у вас не очень распространенная. У меня в пределах доступности [B]Windows 2003 SP2 [/B]нет.
Подскажите какие ключи импортировать? У меня есть еще один комп с такой же системой работоспособный :)
Вот эту ветку надо экспортировать-импортировать:
[B]HKLM\SYSTEM\CurrentControlSet\Services\IPSec [/B]
На больном компе только не забудьте вначале удалить ее.
Сделал. Но все равно служба IPSEC не запускается >:(
Я заметил что еще не запускается служба встроенного фаервола. Вылетает с ошибкой 170. Требуемый ресурс занят.
[size="1"][color="#666686"][B][I]Добавлено через 50 минут[/I][/B][/color][/size]
сравнил "больной" комп с рабочим с такой же операционкой по запущенным службам:
на "больном" не запускаются такие службы: IPSEC, Windows Firewall, HID, а службу: Usbest Service Zero вообще не нашел в списке.
[QUOTE=dragonfly;438634] службу: Usbest Service Zero вообще не нашел в списке.[/QUOTE]
Related to USBest PQI Card Drive (USB) Если у Вас нет такой карты и драйвера на неё, то и службы такой нет.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[QUOTE=dragonfly;438634]не запускается служба встроенного фаервола. [/QUOTE][url]http://virusinfo.info/showthread.php?t=30079[/url]
Все сделал, ipsec так и не запускается :( Наверно придется все же винду переустанавливать.
Вам все равно огромное спасибо за помощь и терпение!!!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-0350791638-6861139860-687136515-1623\csvcs.exe - [B]Trojan.Win32.Agent.crim[/B] ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Worm.P2P.Palevo.C )[*] c:\recycler\s-1-5-21-1570411902-9232072237-804065591-4334\mwau.exe - [B]Trojan.Win32.Agent.crim[/B] ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Worm.P2P.Palevo.C )[*] c:\recycler\s-1-5-21-9560637577-2309965113-525913946-8260\mwau.exe - [B]Trojan.Win32.Agent.crim[/B] ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Worm.P2P.Palevo.C )[*] c:\windows\msddrv42.exe - [B]Backdoor.Win32.SdBot.obb[/B] ( DrWEB: Trojan.Siggen.3093 )[*] c:\windows\win64svc.exe - [B]Trojan.Win32.Agent.crim[/B] ( DrWEB: Win32.HLLW.Lime.8, BitDefender: Worm.P2P.Palevo.C )[*] \msddrv42_exe - [B]Backdoor.Win32.SdBot.obb[/B] ( DrWEB: Trojan.Siggen.3093 )[/LIST][/LIST]