Нестандартная проблема - нужно нестандартное решение.

Принесли мне ноут от вирусов полечить.

[U]Симптомы:[/U]
Установлено Win XP Prof SP3, IE7.0
1) Загрузка винды идёт довольно долго.
2) Сразу после запуска любой из программ-антивирусов (будь то [B]avz[/B] или [B]cureit[/B] или [B]нод32[/B]) программа автоматически закрывается секунды через 3.
3) Удалось запустить [B]HijackThis[/B] и [B]IceSword[/B]
4) В [B]Safe Mode[/B]'е не грузится вообще - выходит синий "экран смерти".
5) С загрузочного CD также не грузится - также идёт синий экран.
6) Администраторские права закрыты.
7) Пока замечены следующие вирусы: [B]SCVVHSOT.EXE, blastclnnn.exe [/B]Проявляются, когда вставляю флэшку - ломятся на флэшку но защита от записи их отбивает.

По правилам могу прислать только логи HijackThis, т.к. утилита avz не запускается. Но лучше конечно этого не делать, т.к. заражу флэшку... или посоветуйте, как лучше поступить...

ЗЫ Для связи с ноутом использую флэшку с функцией защиты от записи.

ЗЫЫ Можно ли вообще такой комп вылечить или уже просто убить загрузочный раздел и переустановка винды? Хочу попытаться всё-таки вылечить

Пробуйте этот AVZ [url]http://depositfiles.com/files/j3apocwxd[/url]

avz запустить получилось
все сделал по правилам, но логи надо как-то передать - решил открыть флэшку, записать файлы, а потом снова заблочить флэшку и на этом же компе удалить файлы, которые вирь пытается записать. И таки записал файл cxsei.exe, но удалить его никак не могу! Ни вручную, ни IceSword'ом с Force Delete'ом, ни Delete Doctor'ом! Рабочий комп таки не хочется заражать - есть ещё способ как-то этот файл удалить?

[size="1"][color="#666686"][B][I]Добавлено через 29 минут[/I][/B][/color][/size]

Тьфу блин - туплю малость. Флэшка же на защите, следовательно ничего оттуда не удалишь... щас всё сделаю пришлю логи

Вот файлы согласно правилам

Нахватали много всякой дряни на фоне заражения чем-то из серии Sality (Sector). Это - файловый вирус, он находится не в отдельных файлах (которые можно удалить и, таким образом, вылечиться), а заражает существующие.
Для начала надо пролечиться, как [URL=http://virusinfo.info/showthread.php?t=15927]описано здесь[/URL].

Потом выполнить такой скрипт в AVZ:
[CODE]begin
ExecuteRepair(10);
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(17);
BC_DeleteSvc('abp470n5');
BC_Activate;
RebootWindows(true);
end.[/CODE]
и после перезагрузки сделать новые логи. Дальше будем чистить то, что осталось.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Смотрите осторожно с флешкой - не заразите ещё что-то.

Боюсь возникнет проблема с загрузкой в Сэйф Моде или с любого загрузочного CD, т.к. это я уже пробовал. Но всё-равно сейчас попробую ещё раз, в т.ч. то что в правилах по удалению файловых вирусов.

Грузится с загрузочных дисков должен - это уже не происки вируса. Если не выходит - либо разбираться с настройками в BIOS, либо нести в сервис, потому что проблема - с железом.

Попробуйте стянуть загрузочный диск с одной из следующих ссылок, эти диски - точно рабочие: [URL="http://www.freedrweb.com/livecd/"]LiveCD от DrWeb[/URL] или [URL="http://devbuilds.kaspersky-labs.com/devbuilds/RescueDisk/kav_rescue_2008.iso"]Rescue Disc от Kaspersky Lab[/URL]

Насчёт флэшки не ошиблись - заразил экзешник IceSword'a. Для уверенности удалил всё с флэшки и закачал на неё заново. (Не знаю нужно ли ещё что-то сделать?)

Сейчас проверяю одним из методов описанной в правилах - программой vba32. Т.к. флэшка защищена сейчас от записи я не стал заморачиваться с записью проги на CD. Запустил прямо с флэшки - очень много файлов инфицировано по тому, что уже проверено. Идентифицирует как Virus.Win32.Sality.baka

Лечитесь. Пролечите все флешки, абсолютно [B]все[/B] файлы.
Потом - всё, как предписывалось выше.

Всё сделал.
Что изменилось и что нет:
- больше ничего не ломится на флэшку, и (забыл упомянуть об этом в самом начале) не ломится в инет через установленное соединение.
- Антивирусные программы пока не запускаются.
- Админские права и диспетчер задач больше не вырубает после перезагрузки.

Есть так же лог программы vba32 - файл vba32.rpt, но его прикрепить не получается - не знаю нужен он будет или нет.

- Скачайте [URL="http://z-oleg.com/avz4.zip"]обычную версию AVZ[/URL]. [B]Все дальнейшие действия проводить с помощью обычной версии.[/B]
- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрвол.[/B]
- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: Shell=Explorer.exe [/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
StopService('esihdrv');
QuarantineFile('C:\RESTORE\k-1-3542-4232123213-7676767-8888886\BLUE.exe','');
QuarantineFile('C:\Program Files\Windows Sidebar\.\regsvr32.exe','');
QuarantineFile('C:\RECYCLER\k-1-3542-4232123213-7676767-8888886\root.exe','');
QuarantineFile('C:\WINDOWS\system32\blastclnnn.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\esihdrv.sys','');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\esihdrv.sys');
DeleteFile('C:\RECYCLER\k-1-3542-4232123213-7676767-8888886\root.exe');
DeleteFile('C:\RESTORE\k-1-3542-4232123213-7676767-8888886\BLUE.exe');
DelCLSID('23KLN5J0-4OPM-11WE-AAX5-24EF1F387232');
DelCLSID('67KLN5J0-4OPM-00WE-AAX5-77EF1D187322');
DeleteFile('C:\WINDOWS\Tasks\At1.job');
DeleteFile('At1.job');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('esihdrv');
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
[I]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log[/I]
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.

[QUOTE]ExecuteStdScr(5); {обновление баз AVZ с автоматической настройкой}
[/QUOTE]
Мне наверное вот это придётся выполнить на чистом компе, т.к. ноут подключения к интернету не имеет. Не хочется мне его в нашу сетку втыкать. Я впринципе базы обновил, прежде чем записать avz на ноут. Может пропустить эту строчку?

Подправил скрипт в соответствии с информацией, полученной от Вас.

Сделано
Логи прикреплены

Вот карантин
091009_144423_virus_4acf14071c509.zip

Не видно ничего подозрительного. Проблема решена?

Вообщем-то да
Только антивирусные программы по-прежнему не запускаются. Может ещё что-то осталось?

В процессах я вижу, что процесс антивиря запускается, но тут же исчезает через полсекунды.

В частности не запускается НОД32 и cureit.

AVZ запускается нормально.

Переустановить NOD пробовали?

вот сейчас пробую...

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

Нет всё-таки что-то осталось. Щас удалил НОД, пошла перезагрузка, загрузил - диспетчер задач опять закрыт.

avz снова обнаружил блокировку диспетчера задач и редактора реестра

Отключите автозапуск с флешек.
AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить.
Лечитесь заново с помощью LiveCD, флешки вставить все не забудьте...

Что-то не получается с LiveCD загрузиться - я из образа распоковал и записал все папки, что там были на болванку, но с CD всё-равно не грузится.

Нужно было прожечь образ, а не переписывать файлы. Через что записывали?

Понял - я не то сделал. Я распаковал исо-файл и потом записал распакованное на CD...

[size="1"][color="#666686"][B][I]Добавлено через 1 час 3 минуты[/I][/B][/color][/size]

Запустил
Проверяю с LiveCD в т.ч. и флэшку

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 18 минут[/I][/B][/color][/size]

Кое что обнаружилось... в частности

exe-файл infected with Win32.Sector.17

и ещё один троянчик - заражённые файлы подлечил, а троян удалил.
Запустил Windows - пока вроде без замечаний, cureit (о чудо :-) ) запустился. Вроде как проблема исчерпана! Если что новое появится наверное новую тему создам. А так всем большое спасибо, особенно за диагностику файлового вируса!

[B]CyberDyne[/B], пока не вылечите все файлы от Sality/Sector - дела не будет! И раз уж вылечились - установите на систему нормальный антивирус? резидентная защита которого будет предотвращать случаи повторного заражения.

Успехов Вам в работе!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]