Не запускается explorer.exe, cms, javaw.exe и др.

[jedi]

Добрый день. Как обычно, бухгалтерская машина
Чистый рабочий стол, через диспетчер задач explorer.exe не запускается, cmd не запускается. Началось вчера с отказапроги типа банк-клиент, написанной на java (запускался как javaw -jar ...)
Необходимые файлы прикладываю

[Макcим]

>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных

Скачайте ещё раз AVZ.

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\restore\rstrui.exe','');
 QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
 QuarantineFile('C:\WINDOWS\system32\swmclip.dll','');
 QuarantineFile('C:\WINDOWS\system32\logon.scr','');
 QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
 QuarantineFile('c:\program files\internet explorer\iexplore.exe','');
 QuarantineFile('c:\windows\system32\alg.exe','');
 BC_ImportQuarantineList;
 BC_Activate;
 RebootWindows(true);
end.

Пришлите файлы карантина по правилам раздела "Помогите". Повторите логи.

[PavelA]

Восстановление системы нужно отключить. ОБязательно!!!

[jedi]

Переустановил AVZ, обновил
Новые логи и карантин:

[jedi]

Подскажите, пожалуйста, как отключить восстановление системы без возможности доступа в меню "пуск"
Не могу прикрепить карантин -
virus.zip:
182.2 Кбайт превысил(а) предел на форуме.

[PavelA]

Вирусы загружаются по ссылке вверху темы. И ТОЛЬКО ТУДА!!!

Нажать Ctrl+Alt+Del, Диспетчер задач, Новая задача, control.exe
Если запуститься будет Панел управления.

Вот эту строчку профиксить в HijackThis:

O4 - HKLM\..\RunOnce: [*Restore] C:\WINDOWS\system32\restore\rstrui.exe -c

[jedi]

Спасибо, Павел, только что увидел эту ссылку
Файл сохранён как 070712_124939_virus_4695eb23d0f4f.zip
Размер файла 1211486
MD5 467a205fdb24e82265f5d855035643a7

control.exe - не запускается, появляется процесс (никакого GUI нет), висит в списке процессов около 5-7 секунд, пропадает.

строчку пофиксил.

Update: отключил восстановление, попал туда через iexplore.

[Макcим]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ExecuteRepair(5);
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteRepair(9);
 ExecuteRepair(16);
RebootWindows(false);
end.

Explorer запустился? Установочный диск Windows есть?

[jedi]

Скрипт выполнил. Explorer не запустился после перезагрузки машины, не запустился из диспетчера задач.
Диск есть.

[Макcим]

Запустите файл c:\WINDOWS\system32\cmd.exe и наберите в командной строке sfc /scannow. Может потребовать установочный диск. После выполнения перезагрузитесь и повторите логи. AVZ нужно скачать ещё раз...

[jedi]

sfc /scannow не отрабатывает:
набираю в командной строке, появляется пустая строка и снова приглашение дос.

[PavelA]

В AVZ попробуй Файл - Восстановление системы - п.1

[jedi]

перестал запускаться cmd - окошко сразу же закрывается :\

[PavelA]

http://dougknox.com/xp/fileassoc/xp_exe_fix.zip
Скачать, раззиповать.
Будет файл с расширением reg. Два раза на него кликнуть, согласиться с добавлением в реестр.

Добавлено через 2 минуты
Сейчас скачаю, посмотрю карантин

Добавлено через 8 минут
Файловый вирус словил W32.Virut.j (по Симантеку) - вот вердикт какой неутешительный.
Что нужно делать - скачать на другом компьютере Cure-It и проверить весь диск полностью, а не только экспресс-анализ. О результатах доложить.

[jedi]

спасибо за файлик, пока временно поборол ключом sfc, который сканирует файлы при следующей перезагрузке. Перезагрузился. Сейчас сканирует.

Качаю Cure-It.

[PavelA]

Сначала Cure, а потом sfc. Так будет правильней.

Странная какая-то неделя идет. Уже четвертая или пятая машина с обычным, файловым вирусом.

[jedi]

Сначала Cure, а потом sfc. Так будет правильней.

Странная какая-то неделя идет. Уже четвертая или пятая машина с обычным, файловым вирусом.

есть такое

зажённые файлы удалять? лечение не удаётся, а один из заражённых экзешников - не виндовый, а нужный рабочий.
Также при запуске с usb-флешки Cure It просигнализировал, что сам заражён.

[Макcим]

Странная какая-то неделя идет.

Чего ты удивляешься, у нас каждый день что-то необычное. Поэтому к нам и обращаются за помощью.

[PavelA]

"Похоже, мы его потеряли" - цитата из сериала "Скорая помощь" (возможно не дословно). Это про Ваш екзешник. Можно попробовать оставить, чтобы потом пролечить чем-нибудь другим. Для сохранности сменить расширение скажем на "еее".

Cure-It в начале в защищенном режиме надо было прогнать. А затем уже в нормальном.

[jedi]

Выполняю.
Счётчик заражённых объектов приближается к пятизначной цифре

Хмм... После перезагрузки не запускает диспетчер задач