После удаления вируса система не работоспособна

[charlie_dalton]

Здравствуйте!

Вирус с порнобаннером.
После разблокировки путем подбора кодов проверил в безопасном режиме Dr.Web CureIt (кстати, сам баннер удалось убрать тоже только в безопасном режиме: в обычном он не был виден, "не фиксировался");
после все было грустно: нет доступа к элементам панели управления, не открываются сайты антивирусов, не запускаются программы, не удается зайти в "восстановление системы" и, соответственно, отключить, команды никакие не выполняются, в общем, полный букет.

Да, на компьютере 2 учетные записи. После того, как из Безопасного режима CureIt-ом проверил обе, обычный режим перестал запускаться (перезагружался). Можно ли выполнить проверку AVZ из безопасного режима и переслать Вам логи или это бесполезно?

Заранее спасибо и извиняюсь за многословие.

[thyrex]

Выполняйте

[charlie_dalton]

Вот.
Но у меня в безопасном режиме не удается подключится к интернет (подключение через модем), соответственно, лог virusinfo_syscheck.zip сделан не по правилам. Согласно информации в этой теме - http://virusinfo.info/showthread.php?t=10387 - сделан архив протокола avz_sysinfo.htm.rar

Базы avz я обновил с другого компьютера (с него же сейчас пишу на форуме)

Прошу прощение за неполное соблюдение правил, но выйти в интернет с зараженного компьютера не могу. Надеюсь, все остальное сделано верно.

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('D:\DOCUME~1\katrin\LOCALS~1\Temp\espEFFB.tmp','');
 QuarantineFile('D:\DOCUME~1\katrin\LOCALS~1\Temp\espA488.tmp','');
 QuarantineFile('D:\WINDOWS\TEMP\esp3057.tmp','');
 QuarantineFile('C:\Documents and Settings\All Users\systems.exe','');
 DeleteFile('C:\Documents and Settings\All Users\systems.exe');
 DeleteFile('F:\autorun.inf');
 QuarantineFile('D:\WINDOWS\system32\sockspy.dll','');
 QuarantineFile('\\?\globalroot\systemroot\system32\re53o1a.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\c3NQEmi.exe','');
 DeleteFile('\\?\globalroot\systemroot\system32\re53o1a.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\c3NQEmi.exe');
 DeleteFile('D:\WINDOWS\system32\re53o1a.exe');
 DeleteFile('D:\WINDOWS\system32\c3NQEmi.exe');
 DeleteFileMask('D:\Documents and Settings\katrin\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
 RegSearch('HKLM', '', 'espEFFB.tmp');
 RegSearch('HKLM', '', 'esp3057.tmp');
 RegSearch('HKLM', '', 'espA488.tmp');
 SaveLog(GetAVZDirectory + 'search.log');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(20);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 ExecuteRepair(6);
 ExecuteRepair(8);
 RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- файл search.log из папки AVZ прикрепите к сообщению

[charlie_dalton]

При выполнении первого скрипта выскочило такое сообщение:
"Windows - Диск отсутствует
Exception Processing Message c0000013 Parameters 75b3bf9c 75b3bf9c 75b3bf9c"

И варианты: "отмена", "повторить", "продолжить"

Как быть дальше? Отменять и далее по Вашей инструкции?

[charlie_dalton]

Архив карантин прислал, остальное здесь.

[thyrex]

Выполните скрипт в AVZ

begin
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Print\Providers\8AC0A17A');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Print\Providers\12BE51E2');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Print\Providers\25B957EC');
RegKeyDel('HKLM', 'SYSTEM\ControlSet001\Control\Print\Providers\8AC0A17A');
RegKeyDel('HKLM', 'SYSTEM\ControlSet001\Control\Print\Providers\12BE51E2');
RegKeyDel('HKLM', 'SYSTEM\ControlSet001\Control\Print\Providers\25B957EC');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Control\Print\Providers\8AC0A17A');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Control\Print\Providers\12BE51E2');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Control\Print\Providers\25B957EC');
ExecuteREpair(12);
ExecuteREpair(19);
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip и лог HiJack (по возможности в нормальном режиме)

[charlie_dalton]

В обычном режиме, к сожалению, так и не загружается.

Сделал логи, как и раньше.

[AndreyKa]

Найдите диск Windows XP Service Pack 3 и переустановите Windows, так как написано тут:
http://support.microsoft.com/kb/315341/ru
см. Способ 2. Восстановление Windows XP при загрузке компьютера с компакт-диска Windows XP

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. f:\autorun.inf - Trojan.Win32.AutoRun.oc ( BitDefender: Trojan.AutorunINF.Gen, AVAST4: BV:AutoRun-AF [Wrm] )