Появление окна "16-разрядная подсистема MS-DOS", и не грузит explorer.exe при загрузке Windows. [Trojan.Win32.Jorik.Androm.vk ]

[digger]

Здравствуйте.
При работе в системе Windows XP (SP3), появляется следующее окно:
C:\DOCUME~1\9335~1\APPLIC~1\A0/exe
Процессор NTVDM обнаружил недоступную инструкцию.
CS:0569 IP:63 74 65 64 20 Для завершения работы нажмите Закрыть.

И при запуске Windows explorer.exe не запускается, приходиться запускать вручную, через ДЗ.

virusinfo_syscheck.zip
hijackthis.log

[Info_bot]

Уважаемый(ая) digger, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Дeнис]

digger,
Здравствуйте!

1. Отключите временно Антивирус/Фаервол.

2. Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\05.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\A0.exe','');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\A0.exe');
 DeleteFile('C:\WINDOWS\system32\05.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

После перезагрузки!


3. Выполните скрипт в AVZ

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

4. Пофиксите в HijackThis :

O4 - HKCU\..\Run: [] E:\explorer.exe

Сделайте лог AVZ + лог RSIT

[digger]

Первая ошибка прошла, а с explorer.exe осталась.

[Дeнис]

digger,
Здравствуйте!

1. Отключите временно Антивирус/Фаервол.

2. Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\USBSTOR.SYS','');
 QuarantineFile('C:\WINDOWS\system32\54.exe','');
 QuarantineFile('C:\WINDOWS\system32\24.exe','');
 QuarantineFile('C:\WINDOWS\yodrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Bzyuyv.scr','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\23.exe','');
 DeleteFile('C:\WINDOWS\system32\drivers\USBSTOR.SYS');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\23.exe');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Bzyuyv.scr');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-14699\brenasa.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1830\zaberg.exe');
 DeleteFile('C:\WINDOWS\yodrive32.exe');
 DeleteFile('C:\WINDOWS\system32\24.exe');
 DeleteFile('C:\WINDOWS\system32\54.exe');
 DeleteFileMask('C:\Documents and Settings\Администратор\Application Data\', '*.gonewiththewings', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

После перезагрузки!


3. Выполните скрипт в AVZ

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Сделайте лог AVZ + лог RSIT

[thyrex]

+ Установите все новые обновления для Windows
Установите Internet Explorer 8 (даже если им не пользуетесь)


+ Сделайте лог полного сканирования МВАМ

[digger]

Появилась проблемка, при запуске мозилы выдает : Не удалось загрузить ваш профиль Файрефокс, возможно он отсутсвует или недоступен.

[Дeнис]

digger,

1. В MBAM удалите все кроме

Объекты реестра обнаружены:  3
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

2. Файл C:\WINDOWS\system32\nvhdagenco3220103.dll проверьте на Virustotal.com, отчет прикрепите к след.сообщению!

[digger]

Дeнис,
Незнаю как правильно отчет из Virustotal.com, просто кидаю ссылку на сканированный объект.
https://www.virustotal.com/file/9db6...is/1345053927/

[Techno]

Обновления поставили?
Что с проблемой?

АВЗ и РСИТ повторите для контроля.

[digger]

Да вроде бы поставились, проблема остается...

[Techno]

- Выполните в АВЗ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP9\Bases\qscan.kdl','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте лог ComboFix.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 22
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\05.exe - Trojan.Win32.Jorik.Androm.vk ( DrWEB: BackDoor.Gurl.2 )