Тормоза системы, невозможность перезагрузки, невозможность управления системой

Здравствуйте!
С некоторых пор в системе что-то завелось...
Машина не перезагружается, при попытке посмотреть процессы, а тем более удалить не нужные - перезагрузка. Заблокировано управление системой, заблокирован реестр - при попытке зайти туда - сообщение, о том, что управление и редактирование запрещено администратором, несмотря на то, что пользователь - администратор.

(WinXpHomeRusSp2 + Norton AV 9.03.02 + Norton Internet Security)

После загрузки системы постоянно висит regedit, при попытке снять его диспетчером задач - система перезагружается.
Кроме того постоянно висели "системные" процессы из C:\Documents and Settings\Юлия\Local Settings\Application Data\
с размером 42573 с именами csrss.exe, inetinfo.exe, lsass.exe, services.exe, smss.exe, winlogon.exe.
Кроме того и во всех пользовательских папках находятся файлы размером 42573, с именем папки - "мои документы.exe", "отчеты.exe", "мои рисунки.exe" и т.д.

С горем пополам поудалял из системы около 200 таких файлов (с таким размером и внутренним содержанием), но полностью восстановить работоспособность не удалось - regedit так же и грузится, править реестр и управлять системой невозможно - не дает "кто-то".

После того, как ничего не получилось, нашел avz4, обновил базу, в общем выполнил все требования. Кроме того высылаю файлы "системных" процессов, пароль "111"

Если выполнили правила, то где тогда логи?

не могу понять почему они не цепляются....
система говорит, что 232кб загружено...

логи

[COLOR="Red"]Cut
Зараженные файлы следует присылать [B]только[/B] по запросу, и согласно правилам[/COLOR]

выполните скрипт AVZ - файл - выполнить скрипт, копьютер перезагрузиться

[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Documents and Settings\Юлия Александровна\Шаблоны\Brengkolang.com','');
QuarantineFile('Explorer.exe C:\WINDOWS\BerasJatah.exe','');
DeleteFile('Explorer.exe C:\WINDOWS\BerasJatah.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

после перезагрузке файлы из папки AVZ - Quarantine - сегодняшнее число залейте по правилам приложения 2

Товарищи напомните мне пожалуйста, у человека рабочий стол должен вроде пропасть, как чиниться из AVZ?

[QUOTE]Товарищи напомните мне пожалуйста, у человека рабочий стол должен вроде пропасть, как чиниться из AVZ?
[/QUOTE]
Файл - Восстановление системы - Востановление настроек рабочего стола

Неплохо бы еще почистить файл Hosts.
В AVZ Сервис -- Менеджер файла Hosts.
Удаляем все строчки.

[quote=PavelA;92673]Неплохо бы еще почистить файл Hosts.
В AVZ Сервис -- Менеджер файла Hosts.
Удаляем все строчки.[/quote]
Кроме
127.0.0.1 localhost

[QUOTE=anton_dr;92752]Кроме
127.0.0.1 localhost[/QUOTE]

А там такой нет. Только html-страница Yahoo:P У второго человека вижу такое в файле hosts.

Ну я в курсе про то, что ее нет. Надо добавить.

[B]PavelA[/B], не удержался, поместил в "Чаво" :)

[B]Strangers[/B], выполните еще вот это - [url]http://virusinfo.info/showthread.php?t=7660[/url]

1) собственно заливать нечего, т.к. я их уже давно удалил... еще до того, как обратился сюда. на них только ссылки в реестре остались.
могу выслать только то, что уже высылал - копии "системных" процессов

2) hosts почистил ручками, строчку добавил тоже

Жалко, что зверя не увидели. Нехорошо получается.

пардон, случайно нашел один файлик в карантине предідущей версии AVZ, залил его по правилам приложения 2
:)
дальнейшие телодвижения?

остальных зверей высылать? есть интерес?

W32.Rontokbro@mm по Symantec - Brengkolang.com
Второго не видно.

кстати, напомню: система по запросу пользователя не перезагружается и не выключается.
это удается только если поудалять из памяти regedit, jusched.exe, причем удалить их с помощью виндозного диспетчера задач не получается - только с помощью AVZ

что говорит NAV я знаю, но он больше ничего не находит, и эта зараза деактивировала его и нортоновский интернет секьюрити

а второго нету -я ж говорю - грохнул давно...

Ну раз "грохнули", давайте новые логи.

извиняюсь за задержку, так получилось... :)
вот новые логи
и еще. либо с сайтом проблема - очень долго открываются страницы, либо у меня что-то живет и не дает нормально открываться страницам... сейчас для того чтобы отправить логи ждал открытия страницы минут 10....

К сожалению, в логах AVZ все по-старому:embarasse . Есть вопрос>:( - отключено ли восстановление системы (см. Приложение 1 правил)
Затем повторить скрипты предлагаемые ранее.;)

Карантин постараться загрузить, если что-то найдется.
На всякий случай скрипт ниже.
[CODE]begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Documents and Settings\Юлия Александровна\Шаблоны\Brengkolang.com','');
QuarantineFile(C:\WINDOWS\BerasJatah.exe','');
DeleteFile('C:\WINDOWS\BerasJatah.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

восстановление системы отключено.
повторяю: их давно нет! они есть только в автозагрузке! при загрузке система ругается на их отсутствие!
удалить из автозагрузки не могу - нет доступа к реестру... :(

Давайте пойдем другим путем.
В AVZ Сервис-- Менеджер автозапуска. Удаляем строчки, связанные с этими файлами.
Далее Менеджер управления заданиями -- удаляем задание.

Файл -- восстановление системы -- п.п.5,6,8

Перезагрузиться.

З.Ы. Файлы живы, в логе HijackThis про них missing не пишется. Либо лог сделан раньше, до удаления вируса.

только что закачал свежую базу Нортона, проверил C:
ничего не найдено...
но симптомы остаются: при загрузке машины regedit.exe из системного каталога в памяти, выключение и перезагрузка системы невозможны.

ок, ща все сделаю, по поводу того, когда сделан лог - посмотри дату/время создания файла - за несколько минут, как запостить...
кроме того, перед тем как выполнять стандартные скрипты, как в AVZ так и в HijackThis старые логи переложил в отдельные папки соответствующей даты.

BerasJatah.exe из автозагрузки не удаляется... - чекбокс серый, недоступный...
в посках варианта удаления, нажал восстановить значения по умолчанию и... вместо него появился explorer.exe ... но его тоже не получается удалить...

Explorer.exe удалять не надо, это Проводник, без него тоскливо будет :)

то, что без него будет тоскливо, я в курсе :)
C:\WINDOWS\BerasJatah.exe - стоял в автозагрузке
удалить его я не смог - чекбокс недоступен...
причем он стоял там 2 раза - якобы еще и в system.ini
стоя на нем нажал кнопочку восстановить значения по умолчаниюи вместо него появился explorer !
system.ini - проверил, там чисто
удалил задание 'C:\Documents and Settings\Юлия Александровна\Шаблоны\Brengkolang.com'
перезагрузился
regedit.exe так и висит

дальнейшие телодвижения?

увидев после перезагрузки девственно чистый стол(без картинки) полез вернуть ее взад и наткнулся на следующее:
C:\Documents and Settings\Юлия Александровна\Мои документы\Мои рисунки\about.Brontok.A.html
C:\Documents and Settings\Network Service\Мои документы\Мои рисунки\about.Brontok.A.html

оба одинакового содержания. желающие посмотреть есть?

У Вас запрашивали файлы которые должны были попасть в карантин. Когда поделитесь?

да не жадный я! только в карантине ничего нет! пустая папка!

[QUOTE=Strangers;93475]да не жадный я! только в карантине ничего нет! пустая папка![/QUOTE]

жалко... и так - [url]http://virusinfo.info/showthread.php?t=4567[/url] ненаходится?

ADD
[QUOTE=Strangers;93472]оба одинакового содержания. желающие посмотреть есть?[/QUOTE]
Пришлите в архиве, с паролем virus, через страничку загрузки. вобщем см. приложение 2.

В HijackThis просканировать компьютер и профиксить след. строку:
[CODE]O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
[/CODE]

[quote=Shu_b;93476]жалко... и так - [URL]http://virusinfo.info/showthread.php?t=4567[/URL] ненаходится?

ADD

Пришлите в архиве, с паролем virus, через страничку загрузки. вобщем см. приложение 2.[/quote]

1)говорю же: НЕ НАХОДИТСЯ! НЕТУ!
2) сейчас вышлю
3)
[quote=PavelA]
В HijackThis просканировать компьютер и профиксить след. строку:[/quote]
а там такой нету...

[QUOTE=Strangers;93480]а там такой нету...[/QUOTE]
Вы так не переживайте, криком делу не поможешь.
Сделайте новый лог хайджека.

[QUOTE=PavelA;93456]Файл -- восстановление системы -- п.п.5,6,8
[/QUOTE]
собственно поэтому и нету!

хорошо, в принципе я спокоен :)
лог высылаю
но меня заинтересовала еще одна сточка в автозагрузке:
HKLM\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad,WebCheck = c:\windows\system32\webcheck.dll

Если интересно, то вот ссылка на описание вашего зверя:
[url]http://www.viruslist.com/ru/viruses/encyclopedia?virusid=121383[/url]

По логу хайждека внешне всё чисто, сейчас должны сработать пункты 6,8 восстановления АВЗ, и сбросить ограничений запуска и настроек explorera.

В качестве контроля можете просканировать систему Куритом (ссылка в правилах).

да, действительно так и было (как в описании)
но проблема не решена... сегодня машина, вернее инет-соединение с нее достаточно серьезно подтормаживает, при загрузке системы, в процессах висит regedit.exe и машина не выключается и не перезагружается, если не выгрузить его.
сейчас попробую проверить, затем отпишусь