Каспер не ставится,AVZ не работает

Printable View

23.11.2010, 15:01
Воффка

Каспер не ставится,AVZ не работает

Каспер на устанавливается,вернее он там есть но старый,хотел поставить новый но даже старого удалить не получилось! AVZ не копируется на комп с флешки,пишет при копировании "неверные backup файлы" как то так...при запуске с флешки в AVZ квакозыбры и вот такое окно(см. скрин) постоянно размножается...сделал логи тем чем мог...
да,в безопасном режиме AVZ зависает намертво,систему подгружает процесс svhosts при его завершени выскакивает окно с таймером до завершения работы! проходит минута и комп перезагружается!
выручайте!
23.11.2010, 15:05
snifer67

Пофиксить в HijackThis
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\73abbe04.exe,\\?\globalroot\systemroot\system32\6FSCvDc.exe,C:\WINDOWS\system32\sdra64.exe,
[/code]

Загрузитесь в защищенном режиме с поддержкой командной строки.
Через командную строку запустите файл avz(Введите в командной строке <полный путь к папке avz>\avz.exe ag=y)
Сделайте лог avz.
23.11.2010, 16:05
Воффка

удалось сделать логи
23.11.2010, 16:10
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('wzrd_1.dll','');
QuarantineFile('C:\WINDOWS\system32\Cerb\servs.exe','');
QuarantineFile('C:\WINDOWS\system32\G2BE3.tmp.exe','');
QuarantineFile('C:\WINDOWS\system32\G84AD.tmp.exe','');
QuarantineFile('C:\WINDOWS\system32\simdpx.sys','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\simdpp.dll','');
DeleteFile('C:\WINDOWS\system32\simdpp.dll');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\WINDOWS\system32\simdpx.sys');
DeleteFile('C:\WINDOWS\system32\G84AD.tmp.exe');
DeleteFile('C:\WINDOWS\system32\G2BE3.tmp.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(20);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

[B]- Обновите базы[/B]

- Повторите логи
23.11.2010, 16:19
Воффка

после выполнения скрипта AVZ по прежнему запускается с квакозябрами и ошибкой как на скрине экрана! в безопасном режиме в поддержкой ком. строки работает!
23.11.2010, 16:24
olejah

[QUOTE='Olejah;736574']- Обновите базы

- Повторите логи[/QUOTE] ??? Лечение ещё не закончено.
23.11.2010, 16:26
Воффка

а как мне обновить,если AVZ тока в безопасном ржиме работает!?

ой ё....туплю...ща попробую! ))
23.11.2010, 17:11
Воффка

готово
23.11.2010, 17:21
olejah

Почему карантин не послали?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"][COLOR="Red"][B][U]- Системное восстановление[/U][/B][/COLOR][/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\System Volume Information\_restore{41713082-6106-46FB-BA51-D9AB9B01F983}\RP74\A0004950.exe');
DeleteFile('C:\System Volume Information\_restore{41713082-6106-46FB-BA51-D9AB9B01F983}\RP74\A0004949.exe');
DeleteFile('C:\System Volume Information\_restore{41713082-6106-46FB-BA51-D9AB9B01F983}\RP74\A0004948.sys');
DeleteFile('C:\System Volume Information\_restore{41713082-6106-46FB-BA51-D9AB9B01F983}\RP74\A0004947.dll');
BC_ImportAll;
ExecuteSysClean;
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Проверьте компьютер утилитой CureIt!

- Пробуйте запустить в безопасном режиме АВЗ и сделать новые логи
23.11.2010, 17:22
Воффка

а карантин когда отправляю говорят,что файл уже такой прикреплял я и не тправляет

один ток раз мне удалось отправить...а больше неполучалось! видать первый раз меня запомнили там ))

Re:- Пробуйте запустить в безопасном режиме АВЗ и сделать новые логи
я все предыдущие логи делал в безопасном режиме!
23.11.2010, 17:26
olejah

Ошибся - в нормальном режиме попробуйте снять логи.
23.11.2010, 17:29
Воффка

теже самые размножающиеся окна с ошибкой как на скрине экрана((((
23.11.2010, 17:32
olejah

Выполняйте все инструкции, у Вас система дырявая и зверья полно. Пролечитесь CureIt! +

- Microsoft прекратил поддержку и выпуск обновлений безопасности для ОС Windows XP, на которых не установлен Сервис Пак 3. Установите [url="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Сервис Пак 3[/url] - возможно потребуется активация. Перед установкой Сервис Пака необходимо выгрузить [b][color="Red"]все защитные приложения[/color][/b] (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите все [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru]важные обновления[/url].
- Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/url] - даже если Вы им не пользуетесь.
23.11.2010, 17:34
Воффка

[B]snifer67[/B], логи делать после всех вышеперечисленных манипуляций?
23.11.2010, 17:35
snifer67

Да.
24.11.2010, 11:55
Воффка

выполнил проверку CureIt!,грохнул кучу вирусни,после чего удалось загрузить AVZ и выполнить скрипты в нормальном режиме...логи прилагаются!
24.11.2010, 12:38
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Cerb\servs.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\System Volume Information\_restore{41713082-6106-46FB-BA51-D9AB9B01F983}\RP76\A0009783.sys');
DeleteFile('C:\System Volume Information\_restore{41713082-6106-46FB-BA51-D9AB9B01F983}\RP76\A0009784.sys');
DeleteFile('C:\Documents and Settings\Петрович\DoctorWeb\Quarantine\runtime.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
24.11.2010, 12:46
Воффка

у меня не отправляет карнтин,уже много раз пробовал!
24.11.2010, 13:36
Воффка

-карантин отправлен
-логи готовы
24.11.2010, 14:20
thyrex

У Вас еще и некоторые браузеры могли быть заблокированы

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::

Driver::

Folder::

Registry::
[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"DisallowRun"=-
[-HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer\disallowrun]
FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Что сейчас с проблемой?
24.11.2010, 14:50
Воффка

ну все вроде хорошо! касперский установился,базы обновляются! проверил Оперу и IE всё работает! после выполнения скрипта ComboFix не создал отчета!

Думаю тему можно закрывать! всем спасибо!!!
24.11.2010, 16:14
snifer67

Удалите [url=http://virusinfo.info/showpost.php?p=500136&postcount=2] ComboFix[/url]
25.11.2010, 12:33
Воффка

И снова здравствуйте! не удалятся ComboFix, запускается сканирование
Удалил! Оказывается каспрский не очень хорошо к нему относится,прям таки ругался на него, плюсом КомбоФикс запускал видимо свои процессы PEV и cfxxe,все в куче подвешивало систему! удалить удалось только после отключения каспера!
26.11.2010, 12:33
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\петрович\\doctorweb\\quarantine\\runtime.sys - [B]Rootkit.Win32.Papapa.c[/B] ( DrWEB: Trojan.NtRootKit.4398, BitDefender: Gen:Variant.Graftor.22939, AVAST4: Win32:Haxdoor-KJ [Rtk] )[*] c:\\system volume information\\_restore{41713082-6106-46fb-ba51-d9ab9b01f983}\\rp76\\a0009783.sys - [B]Rootkit.Win32.Papapa.c[/B] ( DrWEB: Trojan.NtRootKit.4398, BitDefender: Gen:Variant.Graftor.22939, AVAST4: Win32:Haxdoor-KJ [Rtk] )[*] c:\\system volume information\\_restore{41713082-6106-46fb-ba51-d9ab9b01f983}\\rp76\\a0009784.sys - [B]Rootkit.Win32.Agent.ey[/B] ( DrWEB: Trojan.NtRootKit.321, BitDefender: Rootkit.Agent.GV, AVAST4: Win32:Neptunia-YS [Trj] )[*] c:\\windows\\system32\\cerb\\servs.exe - [B]Trojan-Dropper.Win32.Agent.dnlv[/B] ( DrWEB: Trojan.DownLoader1.39209, BitDefender: Trojan.Generic.4866359, NOD32: Win32/TrojanDropper.Delf.NQD trojan, AVAST4: Win32:FakeVimes-B [Trj] )[/LIST][/LIST]