Постоянно перезагружатся компьютер

[Wazza]

Доброго времени суток .Проблема в следующем .Постоянно перезагружался компьютер .Антивируса естественно никого не стояло ,снял винт прошелся Курейтом , нашел троянов всяких .Теперь при загрузке дело доходит до выбора пользователя , при выборе пользователя пишет - Сохранение параметров и предлогает опять выбрать пользователя .В safe mode та же история .Логи выслать соответственно не могу .

[Гриша]

Лог курита остался?если да приложите к сообщению.

[Wazza]

Лог 7 метров весит .Может урезать , т.е стереть там где стоит - ОК ?

[Гриша]

давайте+запакуйте его в архив

[Wazza]

Вот что-то такое вышло :

[PavelA]

E:\WINDOWS\system32\userini.exe - подмена userinit.exe

Надо попробовать заменить его на чистый, скопировав с дискеты, либо записав на CD-R.

[Alex_Goodwin]

Точнее, скопируйте с чистой системы userinit.exe.

[Wazza]

Userinit.exe скопировал с системы где стоит Панда и тестиццо постоянно Курейтом , комп загрузился , там этого файла вообще не было . Сделать логи и выслать?

[Bratez]

Сделать логи и выслать?

Да, только не выслать, а прикрепить к сообщению.

[Wazza]

Есть.

[PavelA]

Это круто!!! Такой зоопарк!!
Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearHostsFile;
 QuarantineFile('C:\WINDOWS\Temp\NT1B83132.exe','');
 QuarantineFile('C:\WINDOWS\Temp\loader.exe','');
 DelBHO('{81dbab16-ca34-c433-be80-11e6692428a8}');
 QuarantineFile('csrcs.dll','');
 QuarantineFile('msime82.exe','');
 QuarantineFile('msfun80.exe','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\Windows\system\winload.exe','');
 QuarantineFile('C:\WINDOWS\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\gycm473.exe','');
 QuarantineFile('C:\WINDOWS\system32\drvinqyl.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\svchost.exe','');
 QuarantineFile('wdlq40.sys','');
 QuarantineFile('C:\WINDOWS\system32\sywtdxaz.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ntY38.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Djo85.sys','');
 QuarantineFile('C:\Documents and Settings\User\ie_updates3r.exe','');
 SetServiceStart('Google Online Services', 4);
 StopService('Google Online Services');
 QuarantineFile('c:\windows\system32\mbdis.exe','');
 BC_DeleteSvc('windows internet security');
 QuarantineFile('c:\windows\system32\gycm473.exe','');
 DeleteFile('c:\windows\system32\mbdis.exe');
 DeleteFile('C:\Documents and Settings\User\ie_updates3r.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Djo85.sys');
BC_DeleteSvc('Djo85');
BC_DeleteSvc('ntY38');
 DeleteFile('C:\WINDOWS\System32\Drivers\ntY38.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
 DeleteFile('C:\WINDOWS\system32\sywtdxaz.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\wdlq40.sys');
BC_DeleteSvc('wdlq40');
 DeleteFile('C:\WINDOWS\System32\drivers\svchost.exe');
 DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
 DeleteFile('C:\WINDOWS\system32\drvinqyl.exe');
 DeleteFile('C:\WINDOWS\system32\gycm473.exe');
 DeleteFile('C:\WINDOWS\winlogon.exe');
 DeleteFile('C:\Windows\system\winload.exe');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('msfun80.exe');
 DeleteFile('msime82.exe');
 DeleteFile('csrcs.dll');
 DeleteFile('C:\WINDOWS\Temp\loader.exe');
 DeleteFile('C:\WINDOWS\Temp\NT1B83132.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить весь карантин. Сделать новый комплект логов.

[Wazza]

Пока ждал ответа , поставил демо Dr.Web . Карантин выслал .

[V_Bond]

пофиксите ...

O2 - BHO: 158117 helper - {427b1fd8-2123-4334-a7d8-7a497363914b} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{8D56F160-FF3A-430F-93DF-AF15191D82CB}: NameServer = 192.168.0.1
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.35 85.255.112.189
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.35 85.255.112.189
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.35 85.255.112.189
O20 - Winlogon Notify: winctrl32 - C:\WINDOWS\

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\gycm621.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\RE823LSE\575857[1].exe','');
 QuarantineFile('kduzm.exe','');
 DeleteFile('kduzm.exe');
 DeleteFile('C:\WINDOWS\system32\gycm621.exe');
 DeleteFile('C:\System Volume Information\_restore{2B08B9A5-F840-4DF7-90AF-28D467A1BF44}\RP360\A0088824.dll');
 DeleteFile('C:\System Volume Information\_restore{2B08B9A5-F840-4DF7-90AF-28D467A1BF44}\RP360\A0088829.sys');
 DeleteFile('C:\System Volume Information\_restore{2B08B9A5-F840-4DF7-90AF-28D467A1BF44}\RP360\A0088831.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Wazza]

После выполнения скрипта слетели DNS-ы.Карантин выслал .

[PavelA]

В DNS-ах у Вас был прописан вредный сервер из Одессы-мамы. Ежели Вы не оттуда, то надо узнавать у вашего провайдера правильные настройки.

[Wazza]

DNS стоял такой же как и шлюз ,192.168.0.1 . По поводу логов что-нибудь скажете?

Добавлено через 1 минуту

Просто комп офисный , инет идет с соседнего компа .

[PavelA]

85.255.115.35 85.255.112.189 - вот эти были в ДНСах. Их и удалили.
Одного еще надо подчистить, думаю хуже не станет:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\System Volume Information\_restore{2B08B9A5-F840-4DF7-90AF-28D467A1BF44}\RP360\A0088830.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Больше ничего плохого в логах не увидел.

[Wazza]

Извините , забыл что комп взят из другого офиса

Добавлено через 45 секунд

Насчет ДНСа щас с провайдером разберусь .

Добавлено через 8 минут

Опять делать новые логи и высылыть карантин?

[Wazza]

На всякий случай высылаю последние логи . Спасибо за помощь .

[V_Bond]

выполните скрипт ...

begin
 BC_DeleteSvc('gsqk70');
 BC_DeleteSvc('ulu43');
 BC_DeleteSvc('vvts69');
BC_Activate;
RebootWindows(true);
end.

повторите логи начиная с пункта 10 правил ...