Показано с 1 по 9 из 9.

APPCRASH, StackHash (Windows 7 x64) (заявка № 118898)

  1. #1
    Junior Member Репутация
    Регистрация
    03.04.2012
    Сообщений
    6
    Вес репутации
    21

    APPCRASH, StackHash (Windows 7 x64)

    Доброго времени суток)) Прошу вашей помощи, ситуация следующая:
    ОС Windows 7 домашняя базовая (64разрядная) на ноутбуке.
    Сестра скачала с какого-то сайта adobe photoshop cs5 в самораспаковывающемся архиве. Возможно, еще audiotranscoder, но говорит начались проблемы после фотошопа. После этого постепенно стали закрываться ВСЕ программы, при этом выдается следующее сообщение:
    ------------------------
    Сигнатура проблемы:
    Имя события проблемы: APPCRASH
    Имя приложения: HijackThis.exe

    Версия приложения: 2.0.0.4
    Отметка времени приложения: 4bc36b8b
    Имя модуля с ошибкой: StackHash_d1a6
    Версия модуля с ошибкой: 0.0.0.0
    Отметка времени модуля с ошибкой: 00000000
    Код исключения: c0000005
    Смещение исключения: 00561946
    Версия ОС: 6.1.7600.2.0.0.768.2
    Код языка: 1049
    Дополнительные сведения 1: d1a6
    Дополнительные сведения 2: d1a669575716833f299fcbfd808d1e2d
    Дополнительные сведения 3: 1065
    Дополнительные сведения 4: 10650740642d1156316c9d73fd16dd4f
    ------------------------
    Мне сообщила когда уже все программы стали "вылетать".
    Самостоятельно установились также GuardMail.ru и SputnikMail.ru.
    После удаления фотошопа, GuardMail.ru и SputnikMail.ru при загрузке сам по себе запускается firefox пытаясь пройти по адресу Mail.ru\cnt\9516 (один раз др. цифры) и запрашивает оставить ли поиск Bing по умолчанию (хотя никогда им никто на буке не пользовался) или Mail.ru.
    Любые программы в т.ч. утилиты AVZ и др. возможно запустить только в безопасном режиме. Запустил на проверку AVZ -найдено 164 подозрения на вирус, ничего не удалено.
    Все подозрительные Файлы в многократно вложенных папках Application Data:
    С:\Documents and Settings\LUDMILA\AppData\Local\Application Data\Application Data\и т.д.
    C:\Documents and Settings\All Users\Application Data\Application Data\Application Data\и т.д.

    Решил обратиться к Вам, сделал проверку свежеобновленными DrWebCureIt и AVPTool. DrWebCureIt нашел и удалил два TROJAN.MAYACHOK.1:
    C:\WINDOWS\SYSWOW64\DWLUYMH.DLL
    C:\USERS\LUDMILA\APPDATA\LOCAL\TEMP\TMPC7AA.TMP
    AVPTool нашел и удалил Hoax.Win32.ArchSMS.mzzy, в т.ч. в скачанном установочном файле фотошопа. Также во многих папках сидит RubarEngine.exe, AVPTOOL пишет not-a-virus: WebToolbar.Win32.Rubar.k:
    C:\ProgramData\RubarEngine\ RubarEngine.exe
    C:\Users\Все пользователи\RubarEngine\ RubarEngine.exe
    C:\ЗАГРУЗКИ\audiotranscoderru.exe/data0039/RubarUpdateService.exe
    C:\ЗАГРУЗКИ\audiotranscoderru.exe/data0039/RubarEngine.exe
    C:\ЗАГРУЗКИ\audiotranscoderru.exe/data0039/RubarEngine.exe
    C:\Documents and Settings\All Users\RubarEngine\RubarEngine.exe

    На пару минут после этого в обычном режиме загрузки работы windows смог запустить AVZ после чего прямо в ходе проверки опять "программа будет завершена" и в "подробнее" та же ошибка APPCRASH и модуль STACKHASH. Остальные программы также снова стали «вылетать».
    Скрипты AVZ и HiJackThis выполнил, логи прилагаю, пожалуйста, выручайте.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,460
    Вес репутации
    342

    Welcome to VirusInfo!

    Уважаемый(ая) BROTHER, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Пофиксите в HijackThis:
    Код:
    R3 - URLSearchHook: Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll (file missing)
    O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll (file missing)
    O3 - Toolbar: Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll (file missing)
    O4 - HKCU\..\Run: [IE] iexplore.exe
    Перезагрузите компьютер и сделайте логи virusinfo_syscheck и HijackThis в нормальном режиме.
    I am not young enough to know everything...

  5. Это понравилось:


  6. #4
    Junior Member Репутация
    Регистрация
    03.04.2012
    Сообщений
    6
    Вес репутации
    21
    Спасибо за такой быстрый ответ)
    Всё сделал, пожалуйста, посмотрите
    Вложения Вложения

  7. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Ничего зловредного в логах не видно.
    Этот Rubar (Musicbar) или как там его, лучше конечно удалить, но это всего лишь безобидная адварка, а так все чисто.
    I am not young enough to know everything...

  8. #6
    Junior Member Репутация
    Регистрация
    03.04.2012
    Сообщений
    6
    Вес репутации
    21
    Спасибо большое, почти сутки прошли и пока программы не "вылетают", кроме самой AVZ - при запуске с опцией блокировки руткита закрывается с прежними симптомами:
    Сигнатура проблемы:
    Имя события проблемы: APPCRASH
    Имя приложения: avz.exe
    Версия приложения: 4.37.0.12
    Отметка времени приложения: 2a425e19
    Имя модуля с ошибкой: USER32.dll
    Версия модуля с ошибкой: 6.1.7600.16385
    Отметка времени модуля с ошибкой: 4a5bdb3c
    Код исключения: c0000096
    Смещение исключения: 00015f99
    Версия ОС: 6.1.7600.2.0.0.768.2
    Код языка: 1049
    Дополнительные сведения 1: 2ea8
    Дополнительные сведения 2: 2ea8a25c1b38ae95882468e1aca20683
    Дополнительные сведения 3: 235c
    Дополнительные сведения 4: 235ce67c345df54f21eda49b8beca9e9
    -------------
    Искал информацию по теме, наткнулся на сообщение, что возможно это из-за 64-разрядности ОС.
    Это нормально или всё-таки "рецидив болезни"?
    ----------
    Запустил AVZ на проверку без блокировки руткита, опять прежние полторы сотни с лишним файлов с подозрением на Trojan.Win32.Agent2.byu
    А также, C:\Windows\Performance\WinSAT\DataStore\2011-02-20 06.20.39.856.winsat.etl;2;Подозрение на IRC-Worm.Win32.Small.gh ( 1C3844D1 1DA7CD7D 004D6E44 0009046B 49152)
    C:\Windows\System32\LogFiles\Scm\SCM.EVM.5;2;Подоз рение на Trojan-Downloader.Win32.AutoIt.q ( 1CDEC0B4 1E621768 004D6E44 004D6E44 491520)
    Чтобы понять есть ли смысл заморачиваться, хотел найти описание вируса Trojan.Win32.Agent2.byu и нашёл только то, что много у кого такая же ситуация и тоже не могут найти описание. Думаю, невозможно идентифицировать вирус программно, не имея его описания, если нетрудно подскажите где найти описание его действий.
    Вряд ли Майкрософт делал систему так, чтобы было по 5-10 одноименных папок вложенных одна в другую как матрешки, поэтому, думаю для эксперимента, занести подозрительные файлы в карантин с помощью AVZ. Если знаете, пожалуйста, подскажите где найти информацию-описание, чтобы понять нет ли критически важных объектов в списке подозрительных ( сам список не прилагаю пока согласно правилам сайта). Как я понял, в основном там файлы журналов трассировки событий энергопотребления и пр.
    Может быть что-то посоветуете на счет проверки подозрений на Trojan-Downloader.Win32.AutoIt.q и IRC-Worm.Win32.Small.gh - может быть есть утилита, специализированная на определении подобных вирусов?
    Удалил спутника мэйлру и рубар из дополнений мозиллы; в истории загрузок адрес сайта с инфицированным архивом - downloadsphotoshop.com/ (если кто на форуме знает как добавить в какой-нибудь список опасных сайтов, чтоб новички не попадались, напишите плиз).

  9. #7
    Junior Member Репутация
    Регистрация
    03.04.2012
    Сообщений
    6
    Вес репутации
    21
    Здравствуйте,
    рано я обрадовался
    через пару суток на буке перестали загружаться любые интернет страницы при том, что с сетью всё ок (сестра ни на какие левые сайты не заходила, только шторки посмотреть успела на сайтах ). Просканил всем чем можно, найдены и удалены еще какие-то "звери". После этого проверил с помощью MBAM, результат - удалено 10 ключей реестра с упоминанием удалённого на тот момент Rubar.
    Пока всё нормально, но надолго ли не знаю

    Поэтому очень прошу Вас посмотреть свежие логи HiJackThis и AVZ.
    Настораживает наличие в них строк с Guard.Mail.ru и строка
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mail.ru/cnt/9516
    по этому адресу пытался пройти браузер до начала лечения.
    Вложения Вложения

  10. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    383
    Цитата Сообщение от BROTHER Посмотреть сообщение
    Настораживает наличие в них строк с Guard.Mail.ru
    Если настораживает удалите Guard.Mail.ru, но вообще это легальная программа

    Цитата Сообщение от BROTHER Посмотреть сообщение
    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mail.ru/cnt/9516
    Это стартовая страница, можете пофиксить

    В логах ничего необычного не нашел.

  11. #9
    Junior Member Репутация
    Регистрация
    03.04.2012
    Сообщений
    6
    Вес репутации
    21
    Спасибо, будем надеяться, что всё будет гуд

  • Уважаемый(ая) BROTHER, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. APPCRASH, StackHash (Windows 7 x32)
      От Nemukiga в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 14.04.2012, 11:28
    2. Windows 7 (x64), APPCRASH, StackHash.
      От maxsexymax в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 23.12.2011, 17:54
    3. Ответов: 2
      Последнее сообщение: 17.12.2011, 23:49
    4. Ответов: 5
      Последнее сообщение: 15.12.2011, 16:23
    5. APPCRASH, StackHash (WINDOWS 7 x64)
      От maxsexymax в разделе Помогите!
      Ответов: 16
      Последнее сообщение: 09.12.2011, 18:27

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01585 seconds with 17 queries