не запускается IE память не может быть written

Printable View

28.08.2009, 06:42
dlenacsm

не запускается IE память не может быть written

Неожиданно перестал запускаться IE - ответ в окошке "память не может быть written". Windows в безопасном режиме не запускается поэтому CureIT проверял в обычном. нашел один вирус но это проблему не сняло. отправляю файлы с другого компьютера. посмотрите пожалуйста.
28.08.2009, 11:12
dlenacsm

ну почему же Вы не отвечаете? неужели все так плохо?
28.08.2009, 12:14
PavelA

База поcледний раз обновлялась 09.04.2009 необходимо обновить.
Версию AVZ обновить.
Логи переделать.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE');
QuarantineFile('C:\WINDOWS\system32\A3.exe','');
QuarantineFile('C:\WINDOWS\system32\tapi.nfo','');
DeleteFile('C:\WINDOWS\system32\tapi.nfo');
DeleteFile('C:\WINDOWS\system32\A3.exe');
DeleteFile('C:\Documents and Settings\Director\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(10);
BC_Activate;
RebootWindows(true);
end.[/CODE]
28.08.2009, 14:02
dlenacsm

Сделали так:
- обновили AVZ и базы
- выполнили ваш скрипт
- после перезагрузки выполнили стандартный скрипт 3
- после перезагрузки выполнили стандартный скрипт 2
- выполнили HijackThis

итог: IE не запускается, ответ тот же, при включении машина выдает окно ошибка RUNDLL "Ошибка при загрузке tapi.nfo не найден указанный модуль. это сообщение пишем в свежеустановленной мозилле, она работает.

файлы вложены.
28.08.2009, 14:08
PavelA

Профиксить:
[CODE]
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe tapi.nfo beforeglav
O4 - HKLM\..\Run: [systme] C:\WINDOWS\system32\A1.exe
[/CODE]
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\DRIVERS\nups.sys','');
DeleteFile('C:\WINDOWS\System32\DRIVERS\nups.sys');
DeleteFile('C:\WINDOWS\system32\A1.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','systme');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторить логи.
Прислать карантин по Правилам.
28.08.2009, 14:40
dlenacsm

готово
28.08.2009, 14:48
Белый Сокол

Чисто. Жалобы есть?
28.08.2009, 15:02
dlenacsm

есть. IE как не работал так и не работает. на всякий случай приложили принт скрин с ответом системы. извините за самодеятельность
28.08.2009, 15:13
Белый Сокол

Выполните:
[CODE]begin
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(6);
RebootWindows(true);
end.[/CODE]

- Попробуйте переустановить IE.
- Обновите [URL="http://get.adobe.com/reader/"]Adobe reader[/URL].
28.08.2009, 15:29
dlenacsm

выполнили скрипт и произошло вот что.
IE запустился, но при попытке перейти по адресу опять выскочило окно "не может быть written", но в этот раз нажали не ОК а отмена и IE сообщил что страница была закрыта для защиты компьютера а адрес в строке оказался вот такой "res://ieframe.dll/acr_depnx_error.htm#,about:blank".
Переустанавливать IE? если да где лучше взять дистрибутив?
а адобе при поиске обновлений предлагает только Лэнгвидж суппорт. устанавливаешь его а он опять предлагает :)
28.08.2009, 15:29
PavelA

Можно до переустановки IE проверку MBAM запустить. Лог сюда приложить.

Кстати, а в защищенном режиме ИЕ запускается?
28.08.2009, 15:33
Белый Сокол

[QUOTE]Переустанавливать IE? если да где лучше взять дистрибутив?[/QUOTE]
Я думаю, что [URL="http://www.microsoft.com/rus/windows/internet-explorer/"]здесь[/URL] будет правильнее всего.
28.08.2009, 15:40
dlenacsm

в безопасном режиме запускается IE, но там интернета нет :)
буду переустанавливать. спасибо
28.08.2009, 15:41
Белый Сокол

И еще вот это сделайте:
[QUOTE=PavelA;457835]Можно до переустановки IE проверку MBAM запустить. Лог сюда приложить.[/QUOTE]
28.08.2009, 15:45
dlenacsm

дайте инструкцию как делать MBAM

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

ну все это до понедельника (в сибири вечер)
28.08.2009, 15:57
thyrex

[url]http://virusinfo.info/showthread.php?t=53070[/url]
28.08.2009, 19:04
Rene-gad

[QUOTE=dlenacsm;457834]
Переустанавливать IE? если да где лучше взять дистрибутив?[/QUOTE][url]http://www.microsoft.com/rus/windows/internet-explorer/default.aspx[/url]
[QUOTE=dlenacsm;457834]
а адобе при поиске обновлений предлагает только Лэнгвидж суппорт. [/QUOTE][url]http://www.adobe.com/go/EN_UK-H-GET-READER[/url]

ПС: Люди, научитесь набирать один адрес: [url]www.google.ru[/url] - и количество ненужных вопросов упадет до 0
28.08.2009, 20:46
PavelA

[QUOTE='Rene-gad;458022']ПС: Люди, научитесь набирать один адрес: [url]www.google.ru[/url] - и количество ненужных вопросов упадет до 0[/QUOTE]
[COLOR="Silver"]Офф:не-а. Ему тоже правильно формулировать нужно. Я тут два часа искал И-цию
из-за неверно сформулированного запроса.[/COLOR]
31.08.2009, 07:29
dlenacsm

Вот лог из MBAM. пока переустанавливаю адобе реадер (так и не понятно почему нельзя обновить через встроеный в эту программу апдейт) и жду инструкций как действовать - переустанавливать IE или будут еще указания по борьбе с гадами.
31.08.2009, 10:54
Rene-gad

[QUOTE=dlenacsm;459154]будут еще указания по борьбе с гадами.[/QUOTE]
В Мбам по списку
[CODE]HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7}
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6}
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7}
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6}
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{02ffac45-0b10-5633-4296-1801f1a36678}
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{02ffac45-0b10-5633-4296-1801f1a36678}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue

C:\Documents and Settings\NetworkService\Application Data\wsnpoem
C:\WINDOWS\system32\wsnpoem

C:\Documents and Settings\Director\Local Settings\Temp\123.tmp
C:\Documents and Settings\NetworkService\Application Data\wsnpoem\audio.dll
C:\WINDOWS\system32\wsnpoem\audio.dll.cla
C:\WINDOWS\system32\wsnpoem\audio.dll
C:\WINDOWS\system32\wsnpoem\video.dll
C:\Program Files\Internet Explorer\rasadhlp.dll
C:\WINDOWS\system32\logon.exe[/CODE]
удалите.
[QUOTE]адобе реадер (так и не понятно почему нельзя обновить через встроеный в эту программу апдейт) [/QUOTE]
Адобе Ридер обновляется через встроенный апдейтер в пределах главной версии, т.е. если у Вас Adobe Reader 7.0, Вы можете обновить его до Adobe Reader 7.3. На Adobe Reader 9 нужно скачать и установить полную версию продукта.
[QUOTE]переустанавливать IE[/QUOTE]Не надо: скачайте и запустите сетап последней версии.
31.08.2009, 12:27
dlenacsm

Все выполнено. IE после перезагрузки запустился. даже не знаю нужно ли :
Цитата:
переустанавливать IE

Не надо: скачайте и запустите сетап последней версии.

нужно ли вообще что-либо делать с IE - все работает :) спасибо!
31.08.2009, 13:28
Rene-gad

[QUOTE=dlenacsm;459266]
нужно ли вообще что-либо делать с IE [/QUOTE]Установить последнюю версию: Internet Explorer 8
31.08.2009, 14:06
dlenacsm

все сделано!
01.09.2009, 14:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\nups.sys - [B]Backdoor.Win32.Small.xd[/B] ( DrWEB: Trojan.Spambot.4728, BitDefender: Rootkit.Agent.AJBI, NOD32: Win32/SpamTool.Agent.NBW trojan, AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\system32\tapi.nfo - [B]Trojan-Downloader.Win32.Small.amep[/B] ( DrWEB: Trojan.DownLoad.45245, BitDefender: Trojan.Generic.2326328, NOD32: Win32/Oficla.F trojan, AVAST4: Win32:Small-NAD [Trj] )[/LIST][/LIST]