Пропал рабочий стол

[mrsbc]

Замена исходником ничего не дала...
Пока присылаю ветку и результаты проверки на virustotal (всё чисто, но на всякий случай прилагаю результат)
Играться с аморфиком буду уже с понедельника...

[Bratez]

значение Shell равно Explorer.exe

А вы не забыли проверить наличие файла Explorer.exe в папке C:\Winnt ?

[mrsbc]

А вы не забыли проверить наличие файла Explorer.exe в папке C:\Winnt ?

Да нет, не забыл...


Загрузка с полиморфиком ничего не изменила...

[mrsbc]

Идёт совещание?

[миднайт]

Да. Советуюсь с коллегами, простите что не быстро всё.

[Kuzz]

Система сама по себе работает, доступ к разшареным папкам и сервисам есть.

Т.е подключить ее реестр, посмотреть список процессов по сети можно.
есть ли возможность удаленного входа на эту машину?

[mrsbc]

Т.е подключить ее реестр, посмотреть список процессов по сети можно.
есть ли возможность удаленного входа на эту машину?

Реестр просматриваю с LiveCD, процессы просмотреть не могу (точнее не знаю чем можно)
Удалённо вхожу радмином, но полное управление (монитор, клава, мыша) дают тот же результат (пустой екран) посилка стр+алт+дел не дает результата, могу просматривать файлы.

[Kuzz]

процессы просмотреть не могу (точнее не знаю чем можно)

tasklist.exe /S:_имя_машины_

Добавлено через 1 минуту

Реестр просматриваю с LiveCD

В тот момент он не "живой"
А вот при работающей машине может быть и что-то интересное.

Собственно проблема где-то около winlogon.exe (полезно посмотреть запущен ли он)

Добавлено через 2 минуты

Еще очень полезно присоединиться оснасткой "Просмотр событий" и почитать журналы системы.
Там как раз могут быть указания на сбоящие модуля

[mrsbc]

Имя образа PID Имя сессии № сеанса Память
========================= ====== ================ ======== ============
System Idle Process 0 0 16 КБ
System 8 0 212 КБ
smss.exe 224 0 396 КБ
csrss.exe 248 0 1*908 КБ
winlogon.exe 244 0 2*452 КБ
services.exe 300 0 6*616 КБ
lsass.exe 312 0 6*604 КБ
svchost.exe 492 0 3*820 КБ
SPOOLSV.EXE 520 0 5*620 КБ
DefWatch.exe 568 0 1*060 КБ
tcpsvcs.exe 612 0 5*816 КБ
svchost.exe 628 0 11*516 КБ
hidserv.exe 644 0 1*424 КБ
llssrv.exe 680 0 1*764 КБ
msftesql.exe 748 0 3*196 КБ
sqlservr.exe 820 0 49*500 КБ
r_server.exe 1044 0 2*628 КБ
mstask.exe 1060 0 2*908 КБ
ScktSrvr.exe 1116 0 2*772 КБ
sqlbrowser.exe 1172 0 1*700 КБ
clntpp.exe 1228 0 5*352 КБ
termsrv.exe 1264 0 2*168 КБ
UPSMON_Service. 1268 0 1*852 КБ
winmgmt.exe 1280 0 4*544 КБ
wins.exe 1336 0 4*188 КБ
dfssvc.exe 1364 0 1*436 КБ
dns.exe 1384 0 2*960 КБ
inetinfo.exe 1404 0 10*152 КБ
SQLAGENT90.EXE 600 0 2*952 КБ
svchost.exe 1848 0 3*308 КБ
dllhost.exe 1940 0 4*924 КБ

По поводу "Просмотр событий" скачал Adminpak для Windows Server, но к сожелению "не найден сетевой путь", хотя к службам подключилось...

[Kuzz]

Так.

Делаем такие правки в реестре:

Windows Registry Editor Version 5.00

[HKEY_USERS\.DEFAULT\Control Panel\Desktop]
"ScreenSaveActive"="1"
"ScreenSaverIsSecure"="1"
"SCRNSAVE.EXE"="cmd.exe"
"ScreenSaveTimeOut"="300"

Через 5 минут бездействия система попытается запустить "скринсейвер" - cmd.exe

Надеюсь, что дальше делать если это сработает понятно.

[mrsbc]

никакой реакции

[Kuzz]

А Вы перед этим консоль системы "потревожили" (чтоб таймаут запуска скринсейвера заново пошел)?

[mrsbc]

я перегрузил машину (точнее вкл/выкл)

[Kuzz]

А файл msgina.dll присутствует в системе/нормальный?

Добавлено через 3 минуты

Если есть доступ к управлению сервисами, то можно запустить телнет и собрать лог AVZ:

avz.exe Script=scan.scr

scan.scr:

begin
 ExecuteStdScr(2);
end.

[mrsbc]

А файл msgina.dll присутствует в системе/нормальный?

Файл присутствует, по дате, вроде нормальный...
Запустил avz через телнет, но что-то он быстро сработал...
syscheck прилагается...

[Kuzz]

Теперь в тот же файл scan.scr вставляем:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\2EDF~1.KRU\LOCALS~1\Temp\trqvt.dat','');
 DeleteFile('C:\DOCUME~1\2EDF~1.KRU\LOCALS~1\Temp\trqvt.dat');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Drivers32','midi9');
BC_ImportDeletedList;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.

Запускаем через телнет как предыдущий раз
После выполнения скрипта компьютер перезагрузится.

[mrsbc]

что-то оно не перегружается...
может вручную удалить trqvt.dat и внести изменения в реестре? Хотя 'C:\DOCUME~1\2EDF~1.KRU\LOCALS~1\Temp\trqvt.dat' - я такого почему-то не вижу... вижу только C:\DOCUME~1\2EDF~1.LOG

И к машине не могу подсоеденится радмином в режиме телнета...

Добавлено через 2 часа 5 минут

В общем, может зря, а может... прошло ведь 2 часа... сделал ему вкл/выкл и... пошли изменения - при входе запустилось стрл+алт+дел для выбора пользовтеля, я вошёл, на екране окно avz. Рабочего стола всё-так же нету. Зато система на клавиши реагирует.
Мои дальнейшие действия? Стандартно, как в правилах?

[Kuzz]

Да, дальше по правилам.

я вошёл, на екране окно avz.

Мы же им подменяли userinit.exe ))))

[mrsbc]

Мы же им подменяли userinit.exe ))))

было такое дело... там столько наделано, что я уже и забыл
вернуть назад? или пока оставить?

[Kuzz]

Лучше вернуть оригинальный userinit.exe
А после этого делать логи