И опять 0xc0000005...

Printable View

02.08.2010, 12:15
an2000

И опять 0xc0000005...

Давно не обращался, обходился сам, но в этот раз... :(

После обнаружения Каспером появлений файла SetupAPI.dll в папках браузеров (IE, Opera, FF) при перезагрузке системы появилась ошибка 0xc0000005 при запуске приложений...

Наблюдение:
Приложения МОЖНО запустить в течение короткого времени (1-2мин) при загрузке системы, далее - всё... 0xc0000005...

Что предпринималось:
Удаление подозрительных файлов из папки TEMP (раньше этого хватало)
Замена файлов sfcfiles.dll, sfc.dll, setupapi.dll на заведомо "чистые"
Отключение Каспера
Вставка в boot.ini "/noexecute=AlwaysOff"

В этот раз ничего не помогает... :(
Прошу помощи.
02.08.2010, 12:17
polword

комплект логов сделайте
02.08.2010, 12:24
an2000

[QUOTE=polword;680498]комплект логов сделайте[/QUOTE]
Не могу.
Hijack (даже с его переименованием) - 0xc0000005
AVZ 4.34 - 0xc0000005...

Конечно, сделаю, если подскажете, КАК.
02.08.2010, 14:18
an2000

[QUOTE=polword;680498]комплект логов сделайте[/QUOTE]
Вот, подсказали тут изменить НЕ ИМЯ, а РАСШИРЕНИЕ с .exe на .com!
Вот один лог, еще два - чуть позднее.
02.08.2010, 16:40
an2000

[QUOTE=polword;680498]комплект логов сделайте[/QUOTE]
Вот еще один:
02.08.2010, 16:48
an2000

[QUOTE=polword;680498]комплект логов сделайте[/QUOTE]
Вот и второй:

(Извините, отвечал через "цитату", т.к. в простом "Ответить" нет возможности приаттачить файл)
02.08.2010, 23:54
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\system32\Drivers\AC2003.sys','');
QuarantineFile('C:\WINDOWS.0\system32\drivers\TDI.SYS','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\sfc.SYS','');
QuarantineFile('C:\WINDOWS.0\System32\sfcfiles.dll','');
QuarantineFile('C:\WINDOWS.0\system32\mssfc.dll','');
DeleteFile('C:\WINDOWS.0\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS.0\system32\mssfc.dll');
RenameFile('C:\WINDOWS.0\System32\sfcfiles.dll', 'C:\WINDOWS.0\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS.0\System32\dllcache\sfcfiles.dll','C:\WINDOWS.0\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
ExecuteRepair(1);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_DeleteSvc('sfc');
BC_DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
03.08.2010, 00:38
an2000

Спасибо, к утру, думаю, сделаю (проверка AVZ идет достаточно долго).

PS AC2003 - это звуковой драйвер (сам ставил).

PPS "WINDOWS" - это опечатка? Может быть, все-таки "WINDOWS.0"?
А в пятой строке? "\0\" - лишнее?
03.08.2010, 06:34
polword

поправил скрипт
03.08.2010, 09:00
an2000

[QUOTE=polword;680987]поправил скрипт[/QUOTE]
Я тоже :) (убрал "\0\" в пятой строке - ну НЕТ у меня там еще одного каталога "0"!)

Включил на исполнение. Скрипт завис (внизу окна было что-то насчет "поиска IIS".
Хотел уточнить - но AVZ.com (переименованная!) не включается, TotalCommander дает: Error executing program
Это всё...

PS Ошибка 5 исчезла, но теперь при запуске приложений вижу:
Отказано в доступе к данному устройству, пути или файлу. Возможно, у вас нет нужных прав доступа к этому об\екту.

Перегружать систему страшно... :)
Могу и переписку с Вами потерять...

Что делать? Присылать файлы, попавшие в карантин?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 3 минуты[/I][/B][/color][/size]

Рискнул перегрузиться... успел войти в браузер!
Теперь все по-прежнему - ошибка 5.
Управляйте мной, плз
03.08.2010, 09:16
olejah

Давайте сделаем новые логи + лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
03.08.2010, 09:30
an2000

[QUOTE=Olejah;681014]Давайте сделаем новые логи + лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL][/QUOTE]
Начали...
Первый (1234.com - это HiJack)
03.08.2010, 11:30
an2000

[QUOTE=Olejah;681014]Давайте сделаем новые логи + лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL][/QUOTE]
Второй...
(Будете общаться с Олегом З. - передайте, плз, что окошко "осталось" в его AVZ - это просто издевательство! 1ч 45мин показывало мне от 38 до 18 минут! :) )
03.08.2010, 11:41
an2000

[QUOTE=Olejah;681014]Давайте сделаем новые логи + лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL][/QUOTE]
Третий...

Та-а-а-ак... MBAM.
Скачал. Установщик запустился, несмотря на то, что он .exe.
Запускаю mdam.exe - ошибка 5.
Переименовываю в .com - вижу при запуске "Run-time error '0' от vbAccelerator и после нажатия "ОК" - "Run-time error '440' от самой MDAM.
Всё...
03.08.2010, 11:47
olejah

Да не цитируйте Вы меня каждый раз - соберите все логи в одном сообщении.
03.08.2010, 12:10
polword

карантин пришлите
03.08.2010, 12:56
an2000

[QUOTE=polword;681097]карантин пришлите[/QUOTE]
Выслал через форму. Единственное - не поставил пароль (понял после отсылки)... :(

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

2Olejah:
Я выше объяснял, что при создании сообщения через "Ответить" в форме НЕТ возможности приаттачить файлы.
Но я Вас понял.
03.08.2010, 13:08
polword

- Выполните еще раз скрипт в AVZ
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\disk g\install\11-Обязательное\vipipclnt 607.com','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\sfc.SYS','');
QuarantineFile('C:\WINDOWS.0\System32\sfcfiles.dll','');
QuarantineFile('C:\WINDOWS.0\system32\mssfc.dll','');
DeleteFile('C:\WINDOWS.0\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS.0\system32\mssfc.dll');
RenameFile('C:\WINDOWS.0\System32\sfcfiles.dll', 'C:\WINDOWS.0\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS.0\System32\dllcache\sfcfiles.dll','C:\WINDOWS.0\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sfc');
BC_DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;
03.08.2010, 13:30
an2000

2polword:
AVZ: ')' expected в позиции 4:34
03.08.2010, 13:39
polword

выполняйте
03.08.2010, 13:56
an2000

При получении virusinfo_syscheck.zip проактивная защита Каспера сообщила:
Попытка процесса изменить состав системных библиотек, загружаемых при старте ОС.
[B][SIZE=1]Ключ:[/B] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\ute4mtyw
[B]Значение:[/B] ImagePath
[B]Новые данные(Строка Unicode, заканчивающаяся нулем):
[/B]\??\C:\WINDOWS.0\system32\Drivers\ute4mtyw.sys
Запретил.
[/SIZE][SIZE=1][/SIZE]

Карантин закачан.

PS .EXE начали запускаться!
Неужто дело только в этом ute4mtyw.sys???

PPS В папке c:\WINDOWS.0\system32\drivers\ есть еще:
vde4mtyw.sys длиной 13312
uze4mtyw.sys длиной 11264

В c:\Documents and Settings\Admin\Local Settings\Temp\
два странных файла. Вот они.

r2h12.tmp:
{\rtf1\ansi\ansicpg1251\deff0\deflang1049{\fonttbl{\f0\fnil\fcharset204 MS Shell Dlg 2;}}
\viewkind4\uc1\pard\b\f0\fs17\'ca\'eb\'fe\'f7:\b0 HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet006\\Services\\ute4mtyw\par
\par
\b\'c7\'ed\'e0\'f7\'e5\'ed\'e8\'e5:\b0 ImagePath\par
\par
\b\'cd\'ee\'e2\'fb\'e5 \'e4\'e0\'ed\'ed\'fb\'e5(\'d1\'f2\'f0\'ee\'ea\'e0 Unicode, \'e7\'e0\'ea\'e0\'ed\'f7\'e8\'e2\'e0\'fe\'f9\'e0\'ff\'f1\'ff \'ed\'f3\'eb\'e5\'ec):\b0\par
\\??\\C:\\WINDOWS.0\\system32\\Drivers\\ute4mtyw.sys}

r2hF.tmp:
{\rtf1\ansi\ansicpg1251\deff0\deflang1049{\fonttbl{\f0\fnil\fcharset204 MS Shell Dlg 2;}}
\viewkind4\uc1\pard\f0\fs17 HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet006\\Services\\ute4mtyw\par
}

Возможно, пригодится?
03.08.2010, 14:12
polword

C:\WINDOWS.0\System32\sfcfiles.dll - Trojan.WinSpy.921

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
03.08.2010, 14:38
an2000

2polword:
MBAM - Не могу, сообщения те же.

У меня в c:\WINDOWS.0\system32\ есть:
sfcfiles.bak длиной 1 571 840, который Каспер заразой не считает;
Sfcfiles.dl_, который я туда положил, чтобы "expand" делать, если что.
Всё...
04.08.2010, 09:19
an2000

Скоро сутки с тех пор, как...
Что дальше-то?
04.08.2010, 09:59
polword

[QUOTE=an2000;681213]
Sfcfiles.dl_, который я туда положил, чтобы "expand" делать, если что.
[/QUOTE]
надо сделать

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
QuarantineFile('c:\Documents and Settings\Admin\Local Settings\Temp\r2h12.tmp','');
QuarantineFile('c:\Documents and Settings\Admin\Local Settings\Temp\r2hF.tmp','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip; hijackthis.log;
04.08.2010, 11:24
an2000

Файлы .tmp привел выше, после чего стёр. Так что... две строки из скрипта убираю... :(

Опять при получении virusinfo_syscheck.zip проактивная защита Каспера сообщила:
Попытка процесса изменить состав системных библиотек, загружаемых при старте ОС.
[B][SIZE=1]Ключ:[/SIZE][/B][SIZE=1] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006\Services\u te4mtyw
[B]Значение:[/B] ImagePath
[B]Новые данные(Строка Unicode, заканчивающаяся нулем):
[/B]\??\C:\WINDOWS.0\system32\Drivers\ute4mtyw.sys
Запретил.
[/SIZE]
[SIZE=1]...после чего AVZ сказала:[/SIZE]
[SIZE=1]Failed to set data for 'ImagePath'[/SIZE]
[SIZE=1]а в окне Протокол самой AVZ появилось:[/SIZE]
[SIZE=1][SIZE=2]1.2 Поиск перехватчиков API, работающих в KernelMode
[/SIZE][SIZE=2][COLOR=#ff0000][SIZE=2][COLOR=#ff0000]Ошибка в работе антируткита [Failed to set data for 'ImagePath'], шаг [14]
[/COLOR][/SIZE][/COLOR][/SIZE]
В c:\WINDOWS.0\system32\drivers\ появились
uje4mtyw.sys длиной 10240
ute4mtyw.sys длиной 7168

В c:\Documents and Settings\Admin\Local Settings\Temp\ появились:
h2r3.tmp длиной 0
r2h2.tmp длиной 485

Возможно, проактивной защите мне надо отвечать "Разрешить"?
[/SIZE]
04.08.2010, 11:31
polword

при выполнении скрипта надо отключать антивирус
04.08.2010, 12:18
an2000

Отключил.
Выполнил скрипт (с новыми именами .tmp).
Перезагрузка прошла.

Запрошенное прилагаю.

PS Возможно, для MBAM тоже надо Каспера выключать?
04.08.2010, 12:25
an2000

На первый взгляд - все работает, несмотря на отсутствие файла sfcfiles.dll в c:\WINDOWS.0\system32... :)
04.08.2010, 13:57
polword

файл sfcfiles.dll в c:\WINDOWS.0\system32 надо восстановить
04.08.2010, 19:11
an2000

Восстановил.
Скажите, плз, что указало Вам на вирус?
(C:\WINDOWS.0\System32\sfcfiles.dll - Trojan.WinSpy.921)
05.08.2010, 04:38
polword

файл C:\WINDOWS.0\System32\Drivers\sfc.SYS
05.08.2010, 15:53
an2000

А почему Каспер этого не подтверждает?
06.08.2010, 18:54
an2000

Рановато Вы поставили "Излечено"...
Все как прежде.
Обнаружил, когда попробовал перегрузить компьютер.

Каспер, как и раньше, молчит...
06.08.2010, 18:57
Никита Соловьев

[QUOTE='an2000;683288']Обнаружил, когда попробовал перегрузить компьютер.

Каспер, как и раньше, молчит... [/QUOTE]Добавьте информативности
07.08.2010, 18:57
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows.0\system32\sfcfiles.dll - [B]Trojan-Spy.Win32.Agent.bihf[/B] ( DrWEB: Trojan.WinSpy.921, BitDefender: Gen:Trojan.Heur.LP.Fr7@aKaTBIf, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]