посмотрите пож-та логи, cureit нашел несколько троянов

Printable View

07.11.2009, 18:37
lodyr

посмотрите пож-та логи, cureit нашел несколько троянов

вроде все работает, но иногда подтормаживает, а пару месяцев назад стащили пароль от почты
07.11.2009, 18:56
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
ExecuteRepair(1);
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.[/CODE]

3. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]R3 - URLSearchHook: (no name) - - (no file)
O4 - HKLM\..\Policies\Explorer\Run: [] [/QUOTE]4. Сделайте новые логи (только п.2 и 3 раздела Диагностика).
07.11.2009, 19:40
lodyr

вот логи
есть еще проблемка, не запускаются всякие административные штучки, хотя пользователь принадлежит группе администраторов, пишет отказано в доступе, из под встроенной учетной записи Администратор все запускается
07.11.2009, 20:08
Aleksandra

Выполните скрипт в AVZ:

[CODE]begin
ExecuteRepair(6);
RebootWindows(true);
end.[/CODE]
07.11.2009, 20:20
lodyr

Александра, спасибо большое, скрипт выполнил, больше ничего не требуется?
логи не нужны?
07.11.2009, 20:24
Aleksandra

Ничего зловредного в логах нет. Что с проблемами?
07.11.2009, 20:37
lodyr

так все работает, за исключением всяких административных прог
пользователь с правами админ, не возможно запустить gpedit.msc, пишет отказано в доступе,
если через mmc запускать оснастки, то все работает
07.11.2009, 20:54
Aleksandra

Пуск -> Выполнить -> cmd -> gpedit.msc

Что пишет?
07.11.2009, 21:03
lodyr

появляется окошко C:\WINDOWS\system32\gpedit.msc Отказано в доступе.
07.11.2009, 21:25
Aleksandra

Можете показать содержимое веток реестра

[CODE]HKEY_CLASSES_ROOT\.msc
HKEY_CLASSES_ROOT\MSCFile[/CODE]

и, если будут

[CODE]HKCU\Software\Classes\.msc
HKCU\Software\Classes\MSCFile[/CODE]

для пользователя, у которого воспроизводится проблема.
07.11.2009, 22:09
lodyr

[CODE]Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\.msc]
@="MSCFile"

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\MSCFile]
@="Microsoft Common Console Document"
"EditFlags"=dword:00100000
"FriendlyTypeName"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,\
00,6f,00,6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,\
32,00,5c,00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,\
00,2c,00,2d,00,31,00,33,00,30,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\DefaultIcon]
@="%1"

[HKEY_CLASSES_ROOT\MSCFile\Shell]

[HKEY_CLASSES_ROOT\MSCFile\Shell\Author]
@="&Author"
"MUIVerb"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,00,2c,00,\
2d,00,31,00,33,00,33,00,35,00,31,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Author\Command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,6d,00,\
63,00,2e,00,65,00,78,00,65,00,20,00,2f,00,61,00,20,00,22,00,25,00,31,00,22,\
00,20,00,25,00,2a,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Open]
@="&Open"
"MUIVerb"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,00,2c,00,\
2d,00,31,00,33,00,33,00,34,00,39,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Open\Command]
@="%SystemRoot%\\System32\\mmc.exe \"%1\" %*"

[HKEY_CLASSES_ROOT\MSCFile\Shell\RunAs]
@="R&un as..."
"MUIVerb"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,00,2c,00,\
2d,00,31,00,33,00,33,00,35,00,30,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\RunAs\Command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,6d,00,\
63,00,2e,00,65,00,78,00,65,00,20,00,22,00,25,00,31,00,22,00,20,00,25,00,2a,\
00,00,00

[HKEY_CLASSES_ROOT\MSCFile\shellex]

[HKEY_CLASSES_ROOT\MSCFile\shellex\IconHandler]
@="{7A80E4A8-8005-11D2-BCF8-00C04F72C717}"[/CODE]
для пользователя значений нет
08.11.2009, 00:25
Aleksandra

Вот reg-файл, который нужно сохранить и запустить.

[CODE]Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Open]
@="&Open"
"MUIVerb"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
00,6d,00,6d,00,63,00,62,00,61,00,73,00,65,00,2e,00,64,00,6c,00,6c,00,2c,00,\
2d,00,31,00,33,00,33,00,34,00,39,00,00,00

[HKEY_CLASSES_ROOT\MSCFile\Shell\Open\Command]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,6d,00,\
63,00,2e,00,65,00,78,00,65,00,20,00,22,00,25,00,31,00,22,00,20,00,25,00,2a,\
00,00,00[/CODE]
08.11.2009, 01:11
lodyr

Александра, спасибо большое, почти все заработало
осталось только
пуск-программы-администрирование-локальная политика безопасности
при выполнении выскакивает окошко "Ошибка открытия хранилища политик IPSEC: не удается открыть указанный файл (80070002)"
наверное не хватает еще кусочка реестра
08.11.2009, 07:32
Aleksandra

1. Cделайте резервную копию раздела реестра

[CODE]HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\windows\IPSec\Policy\Local[/CODE]

[COLOR="Red"][B]Резервная копия нужна для возможности отката![/B][/COLOR]

2. Удалите полностью этот раздел из реестра.
3. Выполните команду regsvr32 polstore.dll (Пуск -> Выполнить... введите указанную команду и нажмите ОК).
4. Включите отображение скрытых файлов и папок.
5. Проверьте есть ли в папке Temp файл IPSec.tmp, если есть - удаляйте (по умолчанию папка временных файлов располагается в %UserProfile%\Local Settings\Temp). Можно даже удалить все содержимое этой папки.
08.11.2009, 11:42
lodyr

[CODE]Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\ca]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\ca\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\ca\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\ca\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\disallowed]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\disallowed\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\disallowed\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\disallowed\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\root]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\root\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\root\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\root\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\trust]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\trust\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\trust\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\trust\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher\Certificates]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher\CRLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\TrustedPublisher\CTLs]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT]

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services][/CODE]

в реестре есть только такие ветки, в папке windows nt ничего нет
%UserProfile%\Local Settings\Temp здесь нет файла IPSec.tmp
08.11.2009, 12:06
Aleksandra

Пункт 2 выполняли? Если нет, то выполните.
08.11.2009, 12:08
lodyr

так пункт 2 выполнить не получится, так как нет этой ветки в реестре
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\windows\IPSec\Policy\Local
есть только
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT]
но в ней нет
IPSec\Policy\Local
08.11.2009, 12:25
Aleksandra

Вы хорошо все посмотрели?
08.11.2009, 12:27
lodyr

я всю ветку импортировал и выложил в посте
сейчас еще поиском посмотрю

поиском тоже нет IPSec\Policy\Local

могу выложить ветку HKEY_LOCAL_MACHINE\SOFTWARE\ в архиве 2.4 mb, если не много будет
08.11.2009, 14:29
Rene-gad

Давайте сэкономим траффик и почитаем эту тему: [url]http://social.technet.microsoft.com/Forums/ru-RU/xpru/thread/c04f58c5-36a2-4eea-8dda-1d8e89844673/[/url] Особенно последнее сообщение ;)
Попробуйте распаковать и запустить файл из аттача.
08.11.2009, 15:32
lodyr

[B]Rene-gad[/B], спасибо за ссылочку:) щас почитаю

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

[B]Rene-gad[/B], спасибо большое!!! все заработало)))
отдельное спасибо Александре:thumbs::angel2::give_rose: Вы молодец;)