Не отображается рабочий стол

Printable View

07.04.2010, 09:34
ki11er_91

Не отображается рабочий стол

Здравствуйте. Вчера перестал загружаться рабочий стол, ctrl+alt+del работает. Минут через 20 рабочий стол загружается, но на нем невозможно ничего запустить. Пробовал через AVZ выполнить "Удаление отладчиков системных процессов" , "Восстановление ключа запуска Explorer", "Восстановление настроек проводника", но не помогло. Логи прикрепляю (не знаю, правильно ли сделал).
07.04.2010, 09:58
PavelA

В след. раз просто станд. скрипты запускайте и не мудрите.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\amd64si.sys','');
DeleteService('amd64si');
QuarantineFile('C:\WINDOWS\system32\drivers\ati64si.sys','');
DeleteService('ati64si');
QuarantineFile('C:\WINDOWS\system32\drivers\ksi32sk.sys','');
DeleteService('ksi32sk');
QuarantineFile('C:\WINDOWS\system32\drivers\netsik.sys','');
DeleteService('netsik');
QuarantineFile('C:\WINDOWS\system32\drivers\nicsk32.sys','');
DeleteService('nicsk32');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\innvmini.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\systemntmi.sys','');
DeleteService('systemntmi');
QuarantineFile('C:\WINDOWS\system32\drivers\ws2_32sik.sys','');
DeleteService('ws2_32sik');
DeleteFile('ф‘| ±—|К‘|¬Ж');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Generic Host for Win32 Services');
DeleteFile('C:\WINDOWS\system32\drivers\ws2_32sik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\systemntmi.sys');
DeleteFile('C:\WINDOWS\system32\drivers\nicsk32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\netsik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ksi32sk.sys');
DeleteFile('C:\WINDOWS\system32\drivers\ati64si.sys');
DeleteFile('C:\WINDOWS\system32\drivers\amd64si.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторить логи после перезагрузки.
Карантин загрузить по Правилам.
07.04.2010, 10:08
thyrex

+ к рекомендации [B]Павла[/B]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\netprotocol.dll','');
DeleteFile('C:\WINDOWS\System32\netprotocol.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Netprotocol\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи (их должно быть [B]три[/B])
07.04.2010, 11:15
ki11er_91

Готово, карантин не помещается, сейчас загружу на файлообменник.
07.04.2010, 11:37
thyrex

Карантин уберите отсюда и загрузите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Inf\cyclom-y.PNF:exaSnrGYA9hVo6XcftZV','');
DeleteFile('C:\WINDOWS\Inf\cyclom-y.PNF:exaSnrGYA9hVo6XcftZV');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(12);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Выполните скрипт из темы [url]http://virusinfo.info/showthread.php?t=43700[/url]

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
07.04.2010, 16:17
ki11er_91

Готово.
07.04.2010, 20:43
thyrex

Пофиксите в HiJack
[CODE]R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe
O20 - AppInit_DLLs: C:\WINDOWS\Inf\cyclom-y.PNF:exaSnrGYA9hVo6XcftZV[/CODE]Что с проблемой?
07.04.2010, 21:44
ki11er_91

[QUOTE=thyrex;617431]Пофиксите в HiJack
[CODE]R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe
O20 - AppInit_DLLs: C:\WINDOWS\Inf\cyclom-y.PNF:exaSnrGYA9hVo6XcftZV[/CODE]Что с проблемой?[/QUOTE]
А можно по-подробнее?
07.04.2010, 21:49
Шапельский Александр

[QUOTE='ki11er_91;617481']А можно по-подробнее? [/QUOTE]
В смысле как пофиксить? См. здесь: [URL="http://virusinfo.info/showthread.php?t=4491"]http://virusinfo.info/showthread.php?t=4491[/URL]
07.04.2010, 22:22
ki11er_91

Пофиксил, но проблема осталась.
07.04.2010, 22:31
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(6);
Executerepair(8);
Executerepair(9);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]
Отпишитесь
07.04.2010, 22:39
ki11er_91

Скрипт выполнил - не помогло.
07.04.2010, 22:41
Шапельский Александр

Сделайте лог MBAM и лог Hijack
08.04.2010, 00:44
ki11er_91

Готово.
08.04.2010, 01:03
thyrex

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{67kln5j0-4opm-00we-aax5-77ef1d187322} (Generic.Bot.H) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{67kln5j0-4opm-00we-aax5-77ef1d187322} (Trojan.Agent) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.

Зараженные файлы:
c:\RESTORE\k-1-3542-4232123213-7676767-8888886\BLUE.exe (Generic.Bot.H) -> No action taken.[/CODE]
08.04.2010, 09:33
ki11er_91

Удалил, но без результатов. И ещё вопрос C:\WINDOWS\innounp.exe его надо удалять? [url]http://www.virustotal.com/ru/analisis/9f13fd5d3cac4362c0523c98b6411b1f576049017f262783bc0e5c8cc566db55-1270704630[/url] отчет по файлу на вирустотале.
08.04.2010, 09:37
Шапельский Александр

Попробуем так, выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(5);
Executerepair(6);
Executerepair(8);
Executerepair(9);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]
08.04.2010, 09:43
ki11er_91

Выполнил. Теперь фон стал серым, но иконок и пуска так и нет.
08.04.2010, 10:31
thyrex

[QUOTE='ki11er_91;617713']И ещё вопрос C:\WINDOWS\innounp.exe [/QUOTE]У Вас система-сборка. Ничего плохого в этом файле нет

Сделайте такой лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
08.04.2010, 11:20
ki11er_91

Готово.
08.04.2010, 11:51
thyrex

после работы ComboFix изменения в лучшую сторону есть?

c:\windows\System32\sfcfiles.dll нужно восстановить с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]
08.04.2010, 13:05
ki11er_91

[QUOTE=thyrex;617797]после работы ComboFix изменения в лучшую сторону есть?
[/QUOTE]
Да вроде, все так же.
08.04.2010, 13:20
thyrex

Файл восстановили?

C:\WINDOWS\explorer.exe заменять не пробовали?
08.04.2010, 14:08
ki11er_91

[QUOTE=thyrex;617846]Файл восстановили?

C:\WINDOWS\explorer.exe заменять не пробовали?[/QUOTE]
Ищу пока донора.

[size="1"][color="#666686"][B][I]Добавлено через 44 минуты[/I][/B][/color][/size]

c:\windows\System32\sfcfiles.dll нашел в интернете, тоже sp3, но проблема осталась. Explorer.exe пока не нашел.
08.04.2010, 14:51
thyrex

Держите
08.04.2010, 17:32
ki11er_91

Попробовал, подсунуть ваш файл - не помогло. Восстановил с дистрибутива sfcfiles.dll и explorer.exe - тоже не помогло. Неужели ситуация безнадежна?
09.04.2010, 17:32
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\multi password recovery\mpr.exe.bak - [B]not-a-virus:PSWTool.Win32.MPR.bn[/B] ( AVAST4: Win32:Malware-gen )[/LIST][/LIST]