Не запускаются: avp.exe, avz, hijackthis, cureit

Printable View

10.11.2009, 08:22
Viktor.Kh

Не запускаются: avp.exe, avz, hijackthis, cureit

Здравствуйте!
После установки не запускался KIS 2010 (установка с диска)
Не запускались AVZ, hijackthis, cureit, (в т.ч. переименнованные) regedit, не отображались скрытые файлы и папки, расширения зарегистрированных типов файлов.
Rising antivirus (пробная версия платного) - часть заразы нашлась (не нашел файлов журнала Rising, уже удален, логи привести не могу) - все перечисленные проблемы остались.
HDD размонтирован, подключен к заведомо рабочей машине, проверен KAV 2009 (с базами от 8 ноября 2009), что-то нашлось, запускаются [только!] переименнованные AVZ, hijackthis, cureit.
Проверен cureit (с сайта производителя от 8.11.2009), нашлось еще что-то, машина перезагружена, запустился переименнованный (!) каспер, подключена сеть, пробная версия зарегистрирована, попытка обновления: "Невозможно запустить задачу Объект не найден", проверка выцепила еще что-то из системы. Деинсталяция - с ошибками. Инсталяция (с сайта разработчика) - висят 2 процесса avp.exe (user и system), в трее пусто (в т.ч. при ручном запуске с:\...\Program~1\...avp.exe).
Как это лечится дальше?
[ATTACH]177373[/ATTACH]
[ATTACH]177374[/ATTACH]
[ATTACH]177375[/ATTACH]
10.11.2009, 11:57
Bratez

[b]Отключите восстановление системы![/b]
Выполните скрипт в AVZ:
[code]begin
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Сделайте новые логи, как описано в разделе [I]Диагностика [/I][URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL].
10.11.2009, 12:32
Viktor.Kh

Вот логи:
[ATTACH]177452[/ATTACH]
[ATTACH]177453[/ATTACH]
[ATTACH]177454[/ATTACH]
10.11.2009, 12:44
Viktor.Kh

Еще одна особенность:
При открытии папки "Сетевое окружение" Windows Installer пытается обновить MS Office, требует файл PRO11.MSI. Вчера еще такого не было.
10.11.2009, 13:24
Bratez

Выполните скрипт в AVZ:
[code]
begin
DelBHO('{7E853D72-626A-48EC-A868-BA8D5E23E045}');
BC_DeleteSvc('RavCCenter');
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Повторите п.2 раздела Диагностика и сделайте [URL="http://virusinfo.info/showthread.php?t=40118"]лог gmer[/URL].
10.11.2009, 13:28
snifer67

+ [B]Bratez
[/B]
Выполните скрипт в avz
[code]var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.[/code]

Сделайте еще такой лог:
[url]http://virusinfo.info/showthread.php?t=40118[/url].
11.11.2009, 07:49
Viktor.Kh

Логи после выполнения первого скрипта (by Bratez)
[ATTACH]177760[/ATTACH]
[ATTACH]177761[/ATTACH]
Выполняется второй...
11.11.2009, 08:46
Viktor.Kh

Второй скрипт выполнен.
Лог gmer спустя примерно час сканирования...
[ATTACH]177765[/ATTACH]

ЗЫЖ Скрипты в avz (визуально) выполняются как-то [подозрительно] моментально... Дайте, пожалуйста, какой-нить большой безопасный скрипт
(Зацикленные операции чтения из реестра). По необытности щас намудрю
11.11.2009, 09:08
Viktor.Kh

Полный лог gmer:
[ATTACH]177771[/ATTACH]
11.11.2009, 09:26
Viktor.Kh

логи fvz позле выполнения 2-го скрипта
[ATTACH]177772[/ATTACH]
[ATTACH]177773[/ATTACH]
11.11.2009, 10:38
Bratez

Все нормально, только вовсе незачем было делать лог гмера 3 раза ;)

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\upbzqm.dll','');
DeleteFile('C:\WINDOWS\system32\upbzqm.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\ukwnyxwi');
RegKeyResetSecurity('HKLM', 'SYSTEM\ControlSet002\Services\ukwnyxwi');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\ukwnyxwi\Parameters');
RegKeyResetSecurity('HKLM', 'SYSTEM\ControlSet002\Services\ukwnyxwi\Parameters');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\ukwnyxwi');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\ukwnyxwi');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\BITS');
RegKeyResetSecurity('HKLM', 'SYSTEM\ControlSet002\Services\BITS');
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\wuauserv');
RegKeyResetSecurity('HKLM', 'SYSTEM\ControlSet002\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
RegKeyStrParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=59783[/url]).
Повторите п.2 раздела Диагностика и сделайте новый лог gmer.
11.11.2009, 12:04
Viktor.Kh

Во время выполнения скрипта вылез диалог "Устройство не готово; либо дверца открыта.. (Диск Е)" Нажатие "Отмена/Повторить/Продолжить" не удовлетворяют. Скрипт остановился на строке "DeleteFile('C:\WINDOWS\system32\upbzqm.dll');" avz не отвечает... Задача не убивается (либо появляется вновь, но очень быстро).
Файла upbzqm.dll ни в sys32, ни в карантине нет...
11.11.2009, 12:13
Bratez

Выполните скрипт в безопасном режиме.
11.11.2009, 12:46
Viktor.Kh

Файл сохранен как 091111_124251_virus_4afa871b4cd8d.zip
11.11.2009, 13:33
Bratez

[QUOTE='Bratez;506176']Повторите п.2 раздела Диагностика и сделайте новый лог gmer. [/QUOTE]
///
11.11.2009, 14:13
Viktor.Kh

лог avz, gmer работает..[ATTACH]177837[/ATTACH]
11.11.2009, 14:28
Viktor.Kh

gmer... Окончания проверки файловой системы не дождался...
[ATTACH]177845[/ATTACH]
11.11.2009, 14:37
Bratez

В логах все нормально. Что с проблемами?
12.11.2009, 08:51
Viktor.Kh

Скрытые объекты и расширения зарегистрированных типов не отображаются

Каспер снесен (так как после выполнения последнего скрипта не запускался, восстановление не восстанавливало (тавтология, пардон) большинство компонентов), переустановлен, обновлен, еще 2 зловреда в нескольких файлах... Ребут... Вход в систему - падает svchost.exe... shutdown -a... невозможно попасть в интернет, не запускается explorer.exe, taskman.exe, через пару минут система виснет намертво... 2 ресета подряд... Логон происходит нормально. Что это было?
Сейчас:
[COLOR="SeaGreen"][B][Решено] [/B][/COLOR] Запускаются каспер, avz, cureit, regedit, hijackthis, cmd.exe
[B][COLOR="Olive"][Осталось] [/COLOR][/B]Не отображаются скрытые объекты файловой системы и расширения известных типов файлов...
12.11.2009, 09:00
Bratez

[QUOTE='Viktor.Kh;506883'][Осталось] Не отображаются скрытые объекты файловой системы и расширения известных типов файлов... [/QUOTE]
Выполните такой скрипт:
[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]
Должно помочь.
12.11.2009, 10:22
Viktor.Kh

Не помогло, однако... Вот, проверьие, пожалуйста:
[CODE]Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden]
"Text"="@shell32.dll,-30499"
"Type"="group"
"Bitmap"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,\
00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,53,00,\
48,00,45,00,4c,00,4c,00,33,00,32,00,2e,00,64,00,6c,00,6c,00,2c,00,34,00,00,\
00
"HelpID"="shell.hlp#51131"

[B][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN][/B]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30501"
"Type"="radio"
[B]"CheckedValue"=dword:00000002[/B]
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51104"

[B][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL][/B]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
[B]"CheckedValue"=dword:00000001[/B]

[B][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001[/B][/CODE]
12.11.2009, 10:28
Viktor.Kh

Вложений: 1

И еще SuperHidden:
[ATTACH]178123[/ATTACH]
12.11.2009, 10:33
Viktor.Kh

На пока сделал attrib -s -h * /S /D
Но галки в диалоге "Свойства папки" неубиваемы всеравно......
12.11.2009, 14:57
thyrex

Проверьте (указанные значения верные)

[CODE][B]Если отключена возможность выбора свойств папки[/B]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoFolderOptions"=dword:00000000
или
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoFolderOptions"=dword:00000000

[B]Если отключено отображение скрытых и системных файлов[/B]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
"Hidden"=dword:00000001
"HideFileExt"=dword:00000000
"ShowSuperHidden"=dword:00000001
"SuperHidden"=dword:00000001

[B]Также вирус может изменить ключ "CheckedValue" в ветке [/B]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001[/CODE]
13.11.2009, 14:57
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]