Синий экран при выключении компьютера.

Printable View

15.07.2010, 22:22
thx1138

Синий экран при выключении компьютера.

Доброго времени суток. При выключении компьютера появляется синий экран STOP: 0x0000008e (0xc0000005 0x8066aeb1 0xb70b4b2c 0x00000000). Также перед этим пропал звук в браузере. Вернул, удалив setupapi.dll в дериктории браузера.(Опера)
16.07.2010, 07:37
thx1138

После последней перезагрузки не найден egui.exe, из-за чего НОД32 не работает и поврежден Opera.exe.
16.07.2010, 07:56
polword

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: Dealio Toolbar - {01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C} - (no file)
O3 - Toolbar: Dealio Toolbar - {01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C} - (no file)
[/CODE]
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- [B][COLOR="Red"]Обязательно!!! Системное восстановление!!![/COLOR][/B][URL="http://virusinfo.info/pravila_old.html"] как- посмотреть можно тут[/URL]
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('wiodmtk');
QuarantineFile('C:\WINDOWS\system32\048.tmp','');
DeleteService('meydg');
DeleteService('ltvshbk');
DeleteService('huxcatb');
QuarantineFile('C:\WINDOWS\system32\0B.tmp','');
DeleteService('haienrwi');
DeleteFile('C:\WINDOWS\system32\0B.tmp');
DeleteFile('C:\WINDOWS\system32\048.tmp');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_Activate;
BC_DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
16.07.2010, 08:30
thx1138

Когда загружаю карантин пишет: "Ошибка загрузки. Данный файл уже был загружен"
Логи
16.07.2010, 09:13
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('0.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\WOW\boot','previousProjectorProcessID');
QuarantineFile('C:\WINDOWS\system32\mssfc.dll','');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS\system32\mssfc.dll');
DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
16.07.2010, 21:08
thx1138

Все сделал. При перезагрузке все тот же экран. На загрузку карантина опять отказ.
Логи сделал
17.07.2010, 13:24
thx1138

жду дальнейших указаний.

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 49 минут[/I][/B][/color][/size]

quarantine.zip пустой и весит 1 кб
17.07.2010, 13:46
Шапельский Александр

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\Drivers\sfc.SYS','');
DeleteFile('%System32%\Drivers\sfc.SYS');
QuarantineFile('%system32%\sfcfiles.dll','');
RenameFile('%system32%\sfcfiles.dll', '%system32%\sfcfiles.bak');
CopyFile('%system32%\dllcache\sfcfiles.dll', '%system32%\sfcfiles.dll');
DeleteFile('%system32%\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Сделайте новый лог virusinfo_syscheck.zip

[QUOTE='thx1138;671318']На загрузку карантина опять отказ[/QUOTE]
В своем кабинете в "Вложения" почистите файлы.
17.07.2010, 14:20
thx1138

Вложений: 1

Почистил, все равно то же "Ошибка загрузки. Данный файл уже был загружен". quarantine.zip пустой. Проблема осталась
17.07.2010, 22:11
thx1138

Подскажите, пожалуйста, что еще можно сделать. Может что-то удалить в MBAM?
18.07.2010, 09:40
Шапельский Александр

Удалите в MBAM
[CODE]Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.
Зараженные файлы:
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
C:\Documents and Settings\Нонна\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\DOCUME~1\003\LOCALS~1\Temp\AntiSecuROM.exe','');
QuarantineFile('%System32%\Drivers\sfc.SYS','');
DeleteFile('%System32%\Drivers\sfc.SYS');
QuarantineFile('%system32%\sfcfiles.dll','');
RenameFile('%system32%\sfcfiles.dll', '%system32%\sfcfiles.bak');
CopyFile('%system32%\dllcache\sfcfiles.dll', '%system32%\sfcfiles.dll');
DeleteFile('%system32%\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Сделайте новый лог virusinfo_syscheck.zip и лог MBAM
18.07.2010, 11:45
thx1138

quarantine.zip по прежнему пуст и не отправляется. Лог virusinfo_syscheck прилагаю, лог MBAM выложу позже, когда просканирует.
18.07.2010, 19:26
thx1138

Как и обещал лог MBAM. Больше 7 часов, зараза, сканировал.

И еще. Может это поможет. Воспользовался программой bluescreenview. Она выделяет 2 файла красным - C:\WINDOWS\system32\ntoskrnl.exe и sfc.SYS
18.07.2010, 21:21
polword

- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]Combofix[/URL]
18.07.2010, 22:32
thx1138

Сделал. Перезагружался уже без синего экрана.
19.07.2010, 11:19
thx1138

Все работает хорошо. Если в логах чисто, большое спасибо!
19.07.2010, 13:00
polword

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[CODE]
KillAll::

File::

Driver::
znypmrw

NetSVC::
znypmrw

Folder::

Registry::

FileLook::

DirLook::[/CODE]

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
- Сделайте повторный лог virusinfo_syscheck.zip;
19.07.2010, 19:08
thx1138

Сделал
19.07.2010, 20:57
polword

1.Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[CODE]
KillAll::

File::

Driver::

NetSvc::
znypmrw

Folder::
C:\FOUND.010
C:\FOUND.001
C:\FOUND.002
C:\FOUND.003
C:\FOUND.004
C:\FOUND.005
C:\FOUND.006
C:\FOUND.007
C:\FOUND.008
C:\FOUND.000

Registry::

FileLook::

DirLook::[/CODE]

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\DOCUME~1\НОННА\LOCALS~1\Temp\mbr.sys','');
QuarantineFile('D:\DOCUME~1\003\LOCALS~1\Temp\AntiSecuROM.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
19.07.2010, 21:50
thx1138

Все сделал, карантин отправил
20.07.2010, 07:02
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\DOCUME~1\НОННА\LOCALS~1\Temp\mbr.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;

кнопка Пуск - Выполнить - [B]regedit[/B], откроется редактор реестра
Зайдите в ветку
[QUOTE][HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost\NetSvcs][/QUOTE]
и удалите параметр [B]znypmrw[/B]

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
20.07.2010, 09:04
thx1138

[QUOTE='polword;673067']После перезагрузки:
- выполните такой скрипт[/QUOTE]
Какой?
20.07.2010, 09:20
polword

[QUOTE=thx1138;673101]Какой?[/QUOTE]
- никакой...описочка...:)

[size="1"][color="#666686"][B][I]Добавлено через 30 секунд[/I][/B][/color][/size]

лог virusinfo_syscheck.zip повторите
20.07.2010, 09:29
thx1138

[QUOTE='polword;673067']и удалите параметр znypmrw[/QUOTE]
Такого параметра в этой ветке нет
20.07.2010, 09:37
polword

что-то еще беспокоит?
20.07.2010, 09:40
thx1138

[QUOTE='polword;673118']что-то еще беспокоит?[/QUOTE]
Нет, все в порядке. Большое спасибо!
20.07.2010, 09:43
polword

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
21.07.2010, 09:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]