Printable View
Всем привет! Столкнлся с одной интересной проблемой.
Каждый день РОВНО в 11:09 (к слову, терракт с близнецами) 3 компа из 10 перезагружаются. 1 из них мой ноутбук, поэтому на железо не грешу. У всех остальных стоят ибп. Что только не делал...осталось только систему убить.
Поэтому прошу помощи.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Help\sysmon.chm:SxHV:$DATA','');
QuarantineFile('E:\setup.exe','');
QuarantineFile('C:\WINDOWS\system32\6B5.tmp','');
DeleteFile('C:\WINDOWS\system32\drivers\stglml.sys');
DeleteFile('C:\WINDOWS\system32\6B5.tmp');
DeleteFile('E:\setup.exe');
DeleteFile('C:\WINDOWS\Help\sysmon.chm:SxHV:$DATA');
DeleteFile('C:\Windows\Tasks\Microsoft_Hardware_Launch_setup_exe.job');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
DeleteService('MEMSWEEP2');
DeleteService('aic32p');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
[B]Обновите базы AVZ[/B]
Сделайте новые логи
Все сделал. Вы получили карантин?
Новые логи прилагаю.
Зверье в карантин идти не захотело
Что с проблемой?
жду 11 09. отпишусь, как наступит час икс)
[size="1"][color="#666686"][B][I]Добавлено через 59 минут[/I][/B][/color][/size]
сегодня все произошло в 10 09. тот же BSOD
Сделайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
лог combatfix
Давайте проведем эксперимент. Отведите время назад и попробуйте проверить, изменилось ли что-либо после работы ComboFix
А я уже проводил вчера... если вручную переводишь, то все норм.
это только завтра будет известно.
Тогда до завтра ждем
ровно в 10:09 опять BSOD...
вот такой 0xC0000005 0xe917.... говорит о том, что у меня ошибки на hdd или вирусы или драйвера я какие то поставил... хотя все в порядке.
[QUOTE='Zonner;618410']или драйвера я какие то поставил...[/QUOTE]Есть подозрение, что Вы схватили новую разновидность TDSS. Но это только подозрение
Скачайте [URL="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]"OSAM" (Online Solutions Autorun Manager)[/URL].
Лог работы OSAM прикрепите к своему сообщению
+ к [B]thyrex[/B] выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{3CA2F312-6F6E-4B53-A66E-4E65E497C8C0}');
DelBHO('{83821C2B-32A8-4DD7-B6D4-44309A78E668}');
DelBHO('{D4027C7F-154A-4066-A1AD-4243D8127440}');
DeleteFilemask('C:\Program Files\Ask.com','*.*',true);
DeleteDirectory('C:\Program Files\Ask.com');
DeleteFile('C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
ExecuteWizard('PRT', 2, 2, true);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Все сделал.
Не удалось таки победить. Может попробовать через консоль все системные файлы восстановить?
C:\WINDOWS\system32\DRIVERS\usbser_lowerflt.sys проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url]
Ссылку на результат проверки сообщите
usbser.sys есть, его проверил, а usbser_lowerflt.sys такого файла нет.
ссылка [url]http://www.virustotal.com/ru/analisis/454ec34d72a1a952350d671356b26d9768bba3a4c3d0504feb5d1b54dcaba220-1271051984[/url]
[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]
все повторилось в 10:09... странно, что время сдвинулось на всех 3х машинах на час назад.
Сделайте лог MBAM
Коллеги говорят, что проблема не решаема, и все из-за Dr web Enterprise.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
но почему только избранные станции, вот в чем вопрос.
[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]
Данная проблема уже была и начинается она за 2-2.5мес до окончания лицензии оказывается. как ее победить, пока решения не найдено.
[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]
Вывод: что то срабатывает по расписанию. Единственное что срабатывает по расписанию это команда от сервера с drweb ES 444(серверная часть) на получение обновлений клиентским ПК. Провёл эксперимент - назначил на сервере расписание на 11-00. Синяя смерть ровно в 11-00 на этом компьютере.
В общем dr web фарэва
Обновление раз в сутки? Сильно.
ES 5.0 вышел год назад!
всем у кого данная проблема с drweb ES 444 рекомендуется
"Чтобы максимизировать размер перемещаемого пула рекомендуем задать следующую настройку Windows:
в реестре в ветке
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
параметру PagedPoolSize присвоить значение FFFFFFFF (шестнадцатеричное).
Если такой параметр там отсутствует, то, соответственно, сначала его нужно создать (тип параметра - DWORD)."
В общем: "установка PagedPoolSize=0xFFFFFFFF должна дать радикальный положительный эффект"
Всем спасибо.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]