Не загружается в обычном режиме + зверинец

[Natalie]

Здравствуйте все!

Ситуация: При попытке загрузиться в обычном режиме на стадии загрузки рабочего стола и всяких служб компьютер вываливается в перезагрузку. В журнале событий - расплывчатое уведомление "Компьютер был перезагружен после критической ошибки: 0x10000050 (0xaa0d3000, 0x00000000, 0xaa038b9e, 0x00000000). Копия памяти сохранена: C:\WINDOWS\Minidump\Mini092607-12.dmp."
Отключение из автозагрузки антивирусника и юзергейта не помогло. Проверила с помощью CureIt. Нашла зверинец. Нет, авгиевы конюшни - 6 троянцев и одного червя. Выпала в легкий шок. Получается, зря надеюсь на NOD32?! После лечения от перегруза не избавилась. Я честно собрала логи AVZ и HiJackThis, но не знаю - насколько они полезны из-под безопасного режима, поэтому пока не высылаю. Помогите, пожалуйста.

[V_Bond]

сделайте лог http://virusinfo.info/showthread.php?t=10387

[Natalie]

Добрый день!

Собрала:

[PavelA]

Профиксить в HijackThis:
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки попытаться загрузиться и сделать логи в нормальном режиме. Если удасться, то загрузить карантин через ссылку вверху темы.

[Natalie]

Добрый день!

Загрузиться в обычном режиме не удалось. Карантин выслала. Если это поможет, то в system32 есть файл ntoskrnl.exe, а CureIt в этой же system32 нашел NTRootKit.323.

[PavelA]

Карантин пустой.
Деинсталлировать NOD. попробовать загрузиться.

[Natalie]

NOD убила. Загрузился в обычном режиме. Уфф. Выслать логи, сформированные в обычном режиме? Смогу завтра утром.

[Bratez]

Выслать логи, сформированные в обычном режиме? Смогу завтра утром.

Да, ждём.

[Natalie]

Доброе утро!

Логи из-под обычного режима работы:

[V_Bond]

в логах не замечено ничего вредоносного ...
что из этого используете ?

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[Natalie]

Добрый день!

в логах не замечено ничего вредоносного ...

Это хорошо. Но меня беспокоит два момента:
1. AVZ подозревает в файле C:\bied.exe Virus.Win32.PE_Type1. Это что за беда?
2. Нормальна ли ситуация, когда антивирусник пропускает столько троянцев? Не напрасно ли я использую NOD32?

что из этого используете ?

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule (Планировщик заданий)
Да >> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
Да >> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[PavelA]

C:\bied.exe - можно проверить самостоятельно на вирустотал.
Либо послать в архиве с паролем на newvirus<>z-oleg.com

[V_Bond]

выполните скрипт ...

begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены