эта тема является аналогичным случаем [URL]http://virusinfo.info/showthread.php?t=73568[/URL], речь идет о компьютере, который первоначально заразил тот, с которым разбирались в этой ветке. причина кроется в появлении вредоносных процессов на основе svchost и explorer.
на этой машине после загрузки виндовс все жутко затормаживается, так что запуск каких-либо процессов невозможен. загружался с livecd, в autoruns ничего дурного не нашел, в AVZ сделал следующие логи:
Это логи LiveCD. Они бесполезны :(
А почему не использовали Registry Editor для просмотра ключей автозапуска?
Попробуйте проверить еще это [url]http://virusinfo.info/showthread.php?t=51777[/url]
[QUOTE]А почему не использовали Registry Editor для просмотра ключей автозапуска?[/QUOTE]
если вы имеете ввиду ветку реестра HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, то там я ничего подозрительного не увидел. а где еще смотреть, я не знаю
[QUOTE]Попробуйте проверить еще это [URL]http://virusinfo.info/showthread.php?t=51777[/URL][/QUOTE]
с userinit все как надо, он там, где ему и положено быть.
сейчас прохожусь по системе вот этим: [URL]http://www.freedrweb.com/livecd/[/URL] . посмотрим, ругнется ли он на что-нибудь...
[size="1"][color="#666686"][B][I]Добавлено через 9 часов 30 минут[/I][/B][/color][/size]
drweb нашел несколько троянов, уже знакомые по этому компу: всякие temp1231.exe и т.п. его лог, к сожалению сохранить не удалось,хотя пытался. но полная заторможенность системы при загрузке никуда не делась :( . блин, что еще попробовать, с переустановкой это такая долгая песня будет...
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Вариантов два.
1. Несмотря на суперторможение попытаться сделать логи
2. Переустановить систему с полным форматированием раздела
пытался делать, минут 40 ждал без результата - у avz так и не хватило сил запуститься. попробую еще воскресить safe mode по этой методике:
[URL]http://blog.didierstevens.com/2008/11/26/update-restoring-safe-mode-with-a-reg-file-and-a-live-cd/[/URL]
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
[QUOTE=thyrex;608480]Переустановить систему с полным форматированием раздела[/QUOTE]
это дело мне на недели полторы. столько всего установлено и веник надо покупать, чтобы все слить. ну очень хочется этого избежать
удалось снять логи в безопасном режиме. прилагаю...
Насколько я понимаю, основной антивирус - AVG
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('FireSvc');
DeleteService('FirePM');
DeleteService('SYMIDSCO');
DeleteService('ICF');
QuarantineFile('C:\WINDOWS\system32\svchost.exe:exe.exe','');
DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe');
QuarantineFile('C:\Programme\Internet Explorer\iexplore.exe','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP399\A0090140.exe:exe.exe:$DATA','');
QuarantineFile('C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP399\A0087153.exe:exe.exe:$DATA','');
QuarantineFile('C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP399\A0081290.exe:userini.exe:$DATA','');
QuarantineFile('C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP399\A0081282.exe:exe.exe:$DATA','');
DeleteFile('C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP399\A0081282.exe:exe.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP399\A0081290.exe:userini.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP399\A0087153.exe:exe.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{B32AEE6A-215A-4A68-95FC-9CABBF245D43}\RP399\A0090140.exe:exe.exe:$DATA');
DeleteFile('E:\autorun.inf');
DeleteFile('c:\PROGRA~1\mcafee\mqc\QcConsol.exe');
DeleteFile('C:\Windows\Tasks\McQcTask.job');
DeleteFile('C:\Windows\Tasks\McDefragTask.job');
DeleteFile('C:\PROGRA~1\GEMEIN~1\SYMANT~1\SymcData\idsdefs\20080122.002\symidsco.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\FirePM.sys');
DeleteFile('C:\Programme\Network Associates\McAfee Desktop Firewall for Windows XP\FireSvc.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
[QUOTE]Насколько я понимаю, основной антивирус - AVG[/QUOTE]
на момент падения системы был им. но при первой возможности пойдет в корзину скорее всего. E:\autorun.inf надо будет потом как-то восстановить. на E заводская консоль восстановления, ей этот файлик, наверное, необходим.
Так уберите из скрипта вот это:
[code]DeleteFile('E:\autorun.inf');[/code]
Или уже?
скрипт прогнал, вот логи. и карантин.
В нормальном режиме сделать логи по-прежнему не удается?
Удалите все следы ненужных антивирусных программ [url]http://forum.kaspersky.com/index.php?showtopic=126932&st=0&p=1054993&#entry1054993[/url] и попробуйте сделать логи в обычном режиме обычным AVZ
следы поудалял, и нормальный режим вроде заворочался. вот логи:
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('McAfeeFramework');
DeleteFile('C:\Programme\Network Associates\Common Framework\FrameworkService.exe');
DeleteFile('avgrsstx.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\avgrsstarter','DLLName');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Сделайте новый лог virusinfo_syscheck.zip
новый лог
Ничего плохого не наблюдается
а Combofix не надо прогнать? просто теперь установить SP3 и заплатки, как в этом случае с первым компом: [URL]http://virusinfo.info/showthread.php?t=73568[/URL]
?
[QUOTE='d.schmitz;610029']а Combofix не надо прогнать?[/QUOTE]Давайте прогоним
прилагаю...
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
c:\windows\system32\drivers\usbf25.sys
Driver::
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
прикрепляю
Удаляйте ComboFix, обновляйте систему
[B]thyrex[/B], все наладилось. спасибо вам, доктор :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\system volume information\_restore{b32aee6a-215a-4a68-95fc-9cabbf245d43}\rp399\a0081282.exe:exe.exe:$data - [B]Trojan.Win32.Agent.dnww[/B] ( DrWEB: Trojan.Spambot.7173, BitDefender: Trojan.Agent.AOXE, NOD32: Win32/Obfuscated.NCY trojan, AVAST4: Win32:Malware-gen )[*] c:\system volume information\_restore{b32aee6a-215a-4a68-95fc-9cabbf245d43}\rp399\a0081290.exe:userini.exe:$data - [B]Email-Worm.Win32.Joleee.erf[/B] ( DrWEB: BackDoor.Tdss.1077, BitDefender: Trojan.Dropper.Agent.UWE, AVAST4: Win32:VB-ORM [Trj] )[*] c:\system volume information\_restore{b32aee6a-215a-4a68-95fc-9cabbf245d43}\rp399\a0087153.exe:exe.exe:$data - [B]Trojan.Win32.Agent.dnww[/B] ( DrWEB: Trojan.Spambot.7173, BitDefender: Trojan.Agent.AOXE, NOD32: Win32/Obfuscated.NCY trojan, AVAST4: Win32:Malware-gen )[*] c:\system volume information\_restore{b32aee6a-215a-4a68-95fc-9cabbf245d43}\rp399\a0090140.exe:exe.exe:$data - [B]Trojan.Win32.Agent.dnww[/B] ( DrWEB: Trojan.Spambot.7173, BitDefender: Trojan.Agent.AOXE, NOD32: Win32/Obfuscated.NCY trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]