4-й компьютер за две недели стал уходить в синий экран в момент авторизации в системе

[alspb]

Есть подозрение на вирус. Сначала думали дело в железе , компы старые и XP там с 1 сервис паком. Но последний комп был новый и система со 2-м сервис паком. Делал проверку разными антивирусами , в том числе и рекомендуемым вами CureIT , потом запускал скрипты AVZ . Вобщем вроде перестал находить вирусы ( изначально нашёл ), но проблема не пропала, всё-равно уходит в синий экран. На экране отображается: PAGE_FAULT_IN_NONPAGED_AREA ........
stop: 0x00000050(0xF081B000,0x00000000,0xF07A914E,0x0000 0000
Требуемые логи прилагаются.
p.s. В безопасном режиме с поддержкой сетевых драйверов загружаются нормально, установка с дистрибутива в режиме восстановления не помогла, полная установка с форматированием диска C помогла.

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\Recycled\userinit.exe','');
 DeleteFile('c:\Recycled\userinit.exe');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи. Но проблема скорее всего где-то выше. Если бы Вы прислали дампы, которые образуются после падений, я думаю это бы помогло установить истинную причину.

[PavelA]

P:\Отдел ИТ\Семенов\Collect.exe - надеюсь знаете, что это за программа.
В противном случае, ее в карантин и прислать для анализа.

[alspb]

Скрипт выполнил, прикладываю логи получившиеся после него. Что значит проблема выше ? И где мне взять дампы , получившиеся после падения ? Всё информативное что отображается на синем экране я привёл в первом посте :
PAGE_FAULT_IN_NONPAGED_AREA ........
Technical information:
***stop: 0x00000050(0xF081B000,0x00000000,0xF07A914E,0x0000 0000)

[alspb]

сollect.exe я сам и использовал для своей сетки сто лет назад. Но это сетевой диск, прога лежит не на этом компе. Лежала

[Макcим]

Выполните скрипт в AVZ

begin
SetAVZGuardStatus(True);
DeleteFile('c:\Recycled\userinit');
DeleteFile('c:\Recycled\userinit.exe');
BC_DeleteFile('c:\Recycled\userinit');
BC_DeleteFile('c:\Recycled\userinit.exe');
DelCLSID('CD5AC91B-AE7B-E83A-0C4C-E616075972F3');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи.

Что значит проблема выше?

Проблема где-то на уровне драйверов. Строчка из логов AVZ это подтверждает

1.2 Поиск перехватчиков API, работающих в KernelMode
 Драйвер успешно загружен
 Ошибка обмена с драйвером  [00000002] - [1]

Вопрос только что это, обычный конфликт или следы зловреда? Для разборок нужны дампы. Здесь написано http://virusinfo.info/showpost.php?p...6&postcount=41 подробнее про дампы.

[alspb]

Готово. Отправляю.

[Макcим]

"Пофиксите" в HijackThis

O16 - DPF: {02C20140-76F8-4763-83D5-B660107B7A90} (Loader Class) - http://connect.online-dialer.com/MaConnect.cab

Ждем карантина и дампов.

[Bratez]

1. Поищите через AVZ файл srclient.dll и пришлите по правилам.

2. Попробуйте на время деинсталлировать NOD32.

3. Получить больше информации в безопасном режиме можно так:
в AVZ - Файл - Стандартные скрипты - отметить #1 - Выполнить,
затем Файл - Исследование системы - переключить "Только активные службы и драйверы" на "Все службы и драйверы" - Пуск, сохраните протокол и приложите в виде архива зип или рар.

[alspb]

Высылаю минидамп

[alspb]

При поиске файла srclient.dll по правилам выдало ошибку :
"Ошибка карантина файла srclient.dll попытка прямого чтения... "Т.е. перенести его в карантин и заархивировать по правилам не получается, могу вручную зазиповать ?

[Bratez]

могу вручную зазиповать ?

Конечно, только с паролем virus.

[alspb]

После проделанных последних процедур комп перестал сваливаться в синий экран. Что же помогло деинсталяция NOD или фикс ?

[Макcим]

Высылаю минидамп

Так я и думал.

2. Попробуйте на время деинсталлировать NOD32.

userinit.exe попал в карантин после моего скрипта?

После проделанных последних процедур комп перестал сваливаться в синий экран. Что же помогло деинсталяция NOD или фикс ?

В дампе обнаружены куски NOD'a. Значит он родимый виновник.

[PavelA]

Уже несколько тем с Нодом. Что-то в нем нехорошее появилось.

[Bratez]

Скорее всего были глюки NOD'a, пару раз бывало за последнее время.
Сделайте теперь новые логи в нормальном режиме.

[alspb]

Отправляю dll с паролем virus

Ещё раз выложите карантин на форуме, получите бан.

[alspb]

Большое СПАСИБО !!! Сегодня не получается по времени , а завтра обязательно вышлю вам новые логи !

[Bratez]

DLL-ка нормальная. Ждем логи.

[alspb]

Сразу же Прошу прощения , что выложил файл на форум , не дочитал приложения 2 и 3 Больше не повторится. Высылаю последние логи.