Простите, но Backdoor.Bulknet

[ГАФ]

Добрый вечер.

Прошу прощения, но у меня не получается даже произвести пункт 8 описаных вами правил. После нажатия на "Выполнить отмеченные скрипты" начинается работа программы и компьютер падает в синий экран.

Посоветуйте, что делать? У меня Dr.Web постоянно находит Backdoor.Bulknet сколько его не лечи.

Заранее благодарен,
Андрей

[Numb]

Какая версия DrWeb у вас? Если 4.33, то скачайте бету CureIt! - ftp://ftp.drweb.com/pub/drweb/cureit/cureit-beta.exe - , отключите восстановление системы и выполните полную проверку системы, загрузившись в безопасном режиме. Если, после проверки, система все-равно будет падать в BSOD при создании логов, сделайте логи так же в безопасном режиме. В этом случае, дополнительно, сделайте логи, о которых написано здесь - http://virusinfo.info/showthread.php?t=10387

[ГАФ]

Спасибо! Да, у меня Dr.Web 4.33. Я запускал в сейфмоде утилиту от DrWeb - CureIT! из Правил. Она нашла и удалила два зараженных объекта. Но это не повлияло на выпадание синего экрана. Сечас я скачал бету и попробую повторить процесс.

Еще раз благодарю.

Бета вирусов не выявила. Возможно из-за того, что все еще отключено восстановление системы. Сейчас попробую запустить AVZ

Добавлено через 9 минут
Увы, Снова синий экран...

Добавлено через 21 минуту
... в общем, компьютер упал в синий экран и в сейфмоде... Лог не сохранился. Безнадежный случай?

Добавлено через 5 минут
Т.к. стандартные логи добыть не получается, решил попробовать достать дополнительные.
Следуя инструкции дошел до второго пункта, где, после выполнения Пуск/Сохранить протокол снова выпал синий экран...

медленно подкрадывается паника

[drongo]

HijackThis-тоже не работает?

[ГАФ]

Дело том, что я старался не отклоняться от правил и не запускал HijackThis. Сегодня вечером запущу.

если вы не против, я опишу общую ситуацию в кратце:

Dr.Web находил Backdoor.Bulknet при загрузке системы (в runtime.sys) и при выходе в интернет (в непонятных числовых файлах типа 87645990.exe). Я сначала нажимал "лечить" - не помогало, потом "Переименовать" - без толку. При сканировании системы, Dr.Web удаляет все переименованые файлы, но все повторяется снова.

Пару дней назад интернет-связь начала пропадать каждые пару минут работы инета, при чем, в поддержке посмотрели мои логи и сказали, что обрывов связи нет, только много запросов. Что, мол, это явно вирус.

После прочтения правил на Virusinfo.info начал выполнять все по поярдку, ничего не пропуская. В сейфмоде запустил Cureit и она нашла два объекта под Backdoor.Bulknet:
- runtime.sys (как и ранее)
- ip6fw.sys (впервые)
и удалила все это.

После этого, Dr.Web перестал находить Backdoor.Bulknet ни при загрузке системы, ни при выходе в инет, но:
- Связь так и падает каждые пару минут
- При сканировании AVZ выпадает синий эран, как в обычном, так и в сэйф моде.

Я искренне прошу прощения за этот флуд, но что делать дальше, я не представляю. Очень прошу помочь.

[Muzzle]

Ждём лога HijackThis и будем помогать почти вслепую

[ГАФ]

Благодарю вас. Вечером, после работы первым делом дома запущу HijackThis

[ГАФ]

Слава Всевышнему, HijackThis прошел гладко. Вот лог, надеюсь он будет полезен. Заранее спасибо.

[V_Bond]

выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 Deletefile('C:\WINDOWS\system32\drivers\ip6fw.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\runtime.sys');
 BC_DeleteSvc('runtime');
 BC_DeleteSvc('runtime2');
 BC_DeleteSvc('Ip6Fw');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил...
попробуйте сделать логи AVZ ...

[ГАФ]

К сожалению, при выполнении скрипта комп выпал в синий экран.

Добавлено через 10 минут
Может попробовать повторить в сэйфмоде?

[V_Bond]

можно попробывать ...

[ГАФ]

В сэйфмоде тоже синий экран. Я решил переписать Техническую Информацию с синего экрана, может это как-то поможет:

*** STOP: 0x0000008E (0x00000005, 0xF76EE640, 0xF711AB80, 0x00000000)

*** FastFat.sys - Address F76EE640 base at F76EE000, DateStamp 41107eb7

Не уверен, что этот мат поможет, но на всякий случай...

[V_Bond]

у вас проблемы с памятью судя по ошибке попробуйти попереставлять планки ... попробовать различные сочетания....

[ГАФ]

С удовольствием попереставляю, но я не знаю что это и где но лежит.

[V_Bond]

да я даже не знаю , если вы не разу комп не видели разобранный ...
нужно проверить планки памяти... т.е если их несколько попробывать оставить одну и переставлять в разные слоты...

[drongo]

Надо же когда то начинать. Отключите компьютер от электричества. Откройте корпус "коробки" под столом.Обычно сзади прикручивают винтиками(нужна маленькая отвёртка)
Cнимите боковые стенки корпуса

Вот на картинке :



мы видим материнскую плату, на ней справа видно
вероятно слоты(пустое место под планки с памятью) ->жёлтoе чередуются с чёрным .Чтобы снять, нужно аккуратно нажать на белые зажимы с краёв и вытащить планку/и(которая/ые будет/ут торчать у вас на материнке )
Можно ластиком протереть металлические концы на самих планках памяти, поменять местами сами планки.
Заодно взять пылесос, поставить шланг на выдув и продуть внутренность компьютера от пыли

[ГАФ]

Спасибо за детальный ответ Я коечно видел комп в разобранном состоянии и память переставлял. Просто это не называлось 'Планками'.. я решил, что речь о софте идет. Торможу.

Память попереставляю. Не в первой. Спасибо за участие и фотку материнской платы )

Добавлено через 36 минут
Разобрал, вынул "планки". Видимых повреждений или дефектов нет. На вид совершенно новые. Поменял местами. На материнке пыли не много, но здул ту, что мог. Все собрал, запустил AVZ. Синий экран выпал в том же месте.

При чем, когда он начинает работать и побегают надписи лога, то один момент пишется много красных (ошибки) надписей. и посе этого падает синий экран... Не знаю, связано ли это с чем-то.

До разборки корпуса произвел полный скан дисков с CureIt Beta. Обнаружил BackDoor.Bulknet в C:\WINDOWS\Temp\startdrv.exe Удалил. Больше ничего найдено не было. после перезагрузки, Dr.Web ничего не говорит...

[V_Bond]

С
Разобрал, вынул "планки". Видимых повреждений или дефектов нет. На вид совершенно новые. Поменял местами.

оставте одну планку ... проверте работоспособность ... потом другую... и т д...

[PavelA]

Не помешает проверить жесткий диск chkdsk /f

Есть вариант: удалить это барахло ручками. в Safe Mode запустить AVZ
-- Сервис -- Диспетчер служб и драйверов -- удаляем (сверху есть крестик) runtime2, runtime. Надеюсь, что "Восстановление системы" отключено.