Не удаляется BackDoor.Tdss.565 и не грузится ОС

ОС winXp sp3 загружается до логина, пароля, после ввода которых остается синий фон и курсор мыши.

проверки cureIt, avz выполнил в безопасном режиме, восстановление системы откл. KillTDSSremover от Kaspersky не находит ничего.

не удается выполнить пункт 2 раздела после загрузки инструментов, выполняю проверку в безопасном режиме.

cureIt после каждой перезагрузки из безопасного режима в безопасный, находит в памяти BackDoor.Tdss.565 - svhost.exe, восстанавливает стандартный, а плохой помещает в карантин.

Очень всё интересно и понятно, но нам нужны хоть какие-нибудь логи.
Попробуйте пролечиться этим: [url]http://support.kaspersky.ru/faq/?qid=208636926[/url]

[QUOTE=Rene-gad;652258]Очень всё интересно и понятно, но нам нужны хоть какие-нибудь логи.
Попробуйте пролечиться этим: [URL]http://support.kaspersky.ru/faq/?qid=208636926[/URL][/QUOTE]


Спасибо. Полечился. Во время сканирования получено UnhookRegistry: Cannot get access to KLMD error 2.

Прикрепляю логи avz и hijack сделанные в безопасном режиме(в обычном не грузится).

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]Gmer[/URL]

-[url="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/url]:
[code]O4 - HKLM\..\Policies\Explorer\Run: []
O17 - HKLM\System\CCS\Services\Tcpip\Parameters:
O17 - HKLM\Software\..\Telephony:
O17 - HKLM\System\CS1\Services\Tcpip\Parameters:
O17 - HKLM\System\CS2\Services\Tcpip\Parameters:
O17 - HKLM\System\CS3\Services\Tcpip\Parameters:
O17 - HKLM\System\CS4\Services\Tcpip\Parameters:
[/code]
- [url="http://virusinfo.info/showthread.php?t=7660"]Очистите[/url] файл [b]hosts[/B].
- Сделайте лог полного сканирования [url="http://virusinfo.info/showthread.php?t=53070"]MBAM[/url].
@polword
Лог gmer в безопасном режиме делать не стоит, т.к. он ничего не покажет.

[QUOTE=Rene-gad;652363]-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]:
[code]O4 - HKLM\..\Policies\Explorer\Run: []
O17 - HKLM\System\CCS\Services\Tcpip\Parameters:
O17 - HKLM\Software\..\Telephony:
O17 - HKLM\System\CS1\Services\Tcpip\Parameters:
O17 - HKLM\System\CS2\Services\Tcpip\Parameters:
O17 - HKLM\System\CS3\Services\Tcpip\Parameters:
O17 - HKLM\System\CS4\Services\Tcpip\Parameters:
[/code]

выполнил

- [URL="http://virusinfo.info/showthread.php?t=7660"]Очистите[/URL] файл [B]hosts[/B].

выполнил

- Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].

сканируется
[/QUOTE]

Доброе утро!
в безопасном режиме
в событиях(логах), системы
ошибка, источник Service Control Manager, код 7026
сбой при загрузке драйверов:
afd,
aspi32,
fips,
intelppm,
IPSec,
itcsprot,
itcsrf,
MRxSmb,
NetBIOS,
NetBT,
RasAcd,
Rdbss,
Tcpip,
WS2IFSL

также ошибка:
ftdisk 45,49

отчет mbam получен:

Выложите лог [url]http://esagelab.ru/resources.php?s=tdss_remover[/url]
+ проверьтесь [url]http://support.kaspersky.ru/viruses/solutions?qid=208636281[/url]
[QUOTE]C:\Program Files\Internet Explorer\rasadhlp.dll[/QUOTE] пришлите в карантин по правилам.
Очистите TEMP.

+Alex_Goodwin

- [url="http://virusinfo.info/showpost.php?p=493584&postcount=2"] Удалите в МБАМ[/url]:

[CODE]Зараженные ключи в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{4776c4dc-e894-7c06-2148-5d73cef5f905} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{4776c4dc-e894-7c06-2148-5d73cef5f905} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\services (Trojan.Agent) -> No action taken.

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (Userinit.exe) -> No action taken.

Зараженные папки:
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\fomina\Local Settings\Temp\48.tmp (Backdoor.Bot) -> No action taken.
C:\RECYCLER\S-1-5-21-2088114231-1933093489-1930725748-1138\Dc197\Nev\keygen.exe (Worm.Autorun.B) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds.lll (Stolen.data) -> No action taken.
C:\Documents and Settings\Fomina.ZHD03\Local Settings\Temp\7.exe (Worm.AutoRun) -> No action taken.
C:\Program Files\Internet Explorer\rasadhlp.dll (Spyware.Passwords) -> No action taken.[/CODE]

[QUOTE=Alex_Goodwin;652505]Выложите лог [URL]http://esagelab.ru/resources.php?s=tdss_remover[/URL]

выложил

+ проверьтесь [URL]http://support.kaspersky.ru/viruses/solutions?qid=208636281[/URL]

Во время сканирования получено UnhookRegistry: Cannot get access to KLMD error 2.

пришлите в карантин по правилам.

выслал

Очистите TEMP.[/QUOTE]

очистил

Спасибо

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

[QUOTE=Rene-gad;652516]
- [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МБАМ[/URL][/QUOTE]

удалил. перезагрузился. таже ситуация :(

Сделайте лог полного сканирования [url="http://virusinfo.info/showthread.php?t=53070"]MBAM[/url].

Лог tdss_remover выложите.

[size="1"][color="#666686"][B][I]Добавлено через 34 секунды[/I][/B][/color][/size]

В карантине Trojan-Downloader.Win32.Genome.aurf

[QUOTE=Rene-gad;652562]Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].[/QUOTE]

сделал

[QUOTE=Alex_Goodwin;652641]Лог tdss_remover выложите.[/QUOTE]please ;)

cureIt при запуске быстрой проверки сообщает:
Процесс в памяти: C:\WINDOWS\system32\svchost.exe:580 - BackDoor.Tdss.565 - обезврежен

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

[QUOTE=Rene-gad;652669]please ;)[/QUOTE]

при запуске файла remover.exe выдается ошибка: Error while creating or starting service :(

[QUOTE=gnuspas;652670]
при запуске файла remover.exe выдается ошибка: Error while creating or starting service :([/QUOTE]Возможно, что он в безопасном режиме не запускается
@Alex_Goodwin - это так?

скажите пожалуйста, поможет ли, если диск подключить к другому компу, с установленным и обновленным например KAV и просканировать?

[QUOTE=gnuspas;652693]скажите пожалуйста, поможет ли, если диск подключить к другому компу, с установленным и обновленным например KAV и просканировать?[/QUOTE]Поможет ли - сказать сложно, но попробовать ИМО стоит.
А сохранить Важное и переустановить ОС у Вас есть возможность? Может так даже быстрее будет?

[QUOTE=Rene-gad;652695]Поможет ли - сказать сложно, но попробовать ИМО стоит.
А сохранить Важное и переустановить ОС у Вас есть возможность? Может так даже быстрее будет?[/QUOTE]


на комп-ре установлено специфическое ПО :( дистрибутивов нет :(

Сканирование с другой системы или с LiveCD поможет.

[QUOTE=Alex_Goodwin;652743]Сканирование с другой системы или с LiveCD поможет.[/QUOTE]

Спасибо. запустил проверку зараженного диска на др комп-е.

в случае неудачного старта системы после проверки и лечения,
если сделать восстановление системы с диска,
как Вы думаете, поможет вернуть систему к нормальному состоянию (не затронув установленное ПО и данные)?

[QUOTE=gnuspas;652756]
если сделать восстановление системы с диска,
[/QUOTE]С какого диска? У Вас есть сохранённый образ системы?

Здравствуйте.
Извините за долгое отсутствие.

[QUOTE=Rene-gad;652777]С какого диска? У Вас есть сохранённый образ системы?[/QUOTE]

Сохраненного образа системы нет и восстановление системы отключено было :( Я видимо неправильно выразился, имелось ввиду восстановление ОС с диска с дистрибутивом.
Установил ОС на другой жесткий диск(одолжил). Установил KAV, скачал базы и обновил не подключая к сети. Подключил зараженный жесткий диск к этому комп-ру и просканировал антивирусом (сканирование заняло 5 часов).
После удаления найденного антивирусом:
-\\%windir%\system32\drivers\redbook.sys, ОС загрузилась :)

Огромное спасибо Rene-gad и Alex_Goodwin

[QUOTE='gnuspas;659346']\%windir%\system32\drivers\redbook.sys[/QUOTE]
Как антивирус его обозвал?

[QUOTE=Alex_Goodwin;659380]Как антивирус его обозвал?[/QUOTE]

BackDoor.Tdss.2459

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \rasadhlp.dll - [B]Trojan-Downloader.Win32.Genome.aurf[/B] ( DrWEB: Trojan.PWS.Stealer.269, BitDefender: Trojan.Generic.4121714, AVAST4: Win32:Malware-gen )[/LIST][/LIST]