Не могу добраться до файла

[4iffa]

проблема в файле frmwrk.sys как я понимаю.
попытки удалить с помощью drweb cure it не увенчались успехом.
пожалуйста, помогите.
симптомы:
черный экран - внизу надпись на красном фоне о том что необходимо специальное программное обеспечение.
появлялся красный крестик в трее, тепреь не появляется.

[Bratez]

1. Скачайте свежую версию AVZ - 4.27 и обновите ее базы.

2. Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\System32\frmwrk.sys','');
 QuarantineFile('C:\WINDOWS\System32\frmwrk.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

3. Выполните еще один скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\frmwrk.exe');
 DeleteFile('C:\WINDOWS\System32\frmwrk.sys');
 DeleteFile('C:\WINDOWS\System32\ntos.exe');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.

4. Пришлите карантин согласно приложению 3 правил.

5. Сделайте новые логи + доп. лог в безопасном:
http://virusinfo.info/showthread.php?t=10387

[4iffa]

Извините, что так поздно отвечаю... Был в командировке.

Возникла проблема:
при добавлении папки с avz на диск c:, файл программы удаляется, если переименовывать в pif, cmd и прочее, происходит то же самое.

С компакт диска программа запускается, но логи не сохраняются.
попытаюсь еще...

При выполнении логов, система не перезагружалась. А при загрузке винды, периодически возникала ошибка : неожиданное завершение работы службы services.exe

[PavelA]

Попробовать сделать тоже самое с флешки, если есть возможность. М.б. повезет.

Cure-It надо использовать с CD, да и грузиться лучше тоже с CD.

[Bratez]

Можно так: выполните при запуске с CD второй скрипт, бог с ним с карантином, все равно зверьки давно известные. После этого скопируйте AVZ на жесткий - надеюсь уже не удалится. В случае успеха сделайте логи. Пришлите по правилам файл C:\WINDOWS\system32\ntoskrnl.exe.

[4iffa]

Логи выложу только в среду...
Комп уезжает на выставку.

[4iffa]

Выкладываю логи:

[Bratez]

Больше ничего подозрительного в логах не видно.
Для разблокировки диспетчера задач сделайте в AVZ:
Файл - Восстановление системы - отметить п.11 - Выполнить.

Посмотрите, что вам нужно из этого:

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX

Лишнее отключим.

[4iffa]

нужен, видимо, только административный доступ - комп работает в локальной сети.

и еще маленькая проблема- не меняются обои рабочего стола.

[PavelA]

Отключение сервисов:

begin
SetServiceStart('TermService', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('Alerter', 4);
//RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
end.

RestrictAnonymous - анонимный вход, возможно надо будет открывать.

Насчет обоев сейчас подумаю.

[rubin]

begin
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
end.

Не поможет?

[4iffa]

Спасибо!
все работает.
Объясните, пожалуйста для чего понадобится анонимный вход, и какое значение должно быть для его включения?

[rubin]

Анонимный вход - возможность автоматического входа в систему без выбора пользователя и ввода пароля (если пароль установлен).

[V_Bond]

разрешен доступ анонимного пользователя -делает ваш ПК видимым в локальной сети ...
Ограничение доступа анонимных пользователей

[4iffa]

Спасибо.
Подрублюсь, проверю. включу, если что.

Добавлено через 53 минуты

Не получается закончить с этим компом никак.
в сети он виден, но при попытке открыть вкладку Дополнительно в свойствах локального подключения, на ней появляется сообщение.
"windows не удаётся вывести свойства этого подключения. возможно, данные инструментария управления Windows повреждены. "
Далее советуют использовать восстановление системы.
Помогите, пожалуйста.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены