rundll32.exe проблемма

[redfast23]

Антивирусов нет. После посиделок в интете начались траблы, не могу запустить exe, только через пользователя.

почитал форум нашел похожую проблемму, попробовал совет из того форума, в АВЗ востановление, но у меня ломается..
спасибо за раннее

[Bratez]

Отключите восстановление системы!
Пофиксите в HijackThis:

O4 - HKLM\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe
O4 - HKLM\..\Run: [autoload] C:\Documents and Settings\red\cftmon.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [svcshare] C:\WINDOWS\system32\drivers\svchast.exe
O4 - HKCU\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\red\cftmon.exe
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\SYSTEM32\WLCtrl32.dll

Не перезагружаясь после фикса, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Pwd53');
 SetServiceStart('Pwd53', 4);
QuarantineFile('C:\WINDOWS\system32\drivers\svchast.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\WLCtrl32.dll','');
 QuarantineFile('C:\GH0ST.exe','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\drivers\symavc32.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Pwd53.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\ndisaluo.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Pwd53.sys','');
 DeleteFile('C:\WINDOWS\system32\Drivers\Pwd53.sys');
 DeleteFile('C:\WINDOWS\system32\Drivers\ndisaluo.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Pwd53.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\symavc32.sys');
 DeleteFile('C:\autorun.inf');
 DeleteFile('C:\GH0ST.exe');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\GH0ST.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\drivers\svchast.exe');
BC_ImportALL;
BC_DeleteSvc('Pwd53');
ExecuteSysClean;
ExecuteRepair(1);
ExecuteRepair(6);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=21068).
Сделайте новые логи.

[redfast23]

фАЙЛ ЗАКАЧАЛ НО ЕСТЬ НЮАНС, ТАКОЕ ОЩУЩЕНИЕ, ЧТО НАДО БУДЕТ ПОВТОРИТЬ МАНИПУЛЯЦИЮ С ОТКЛЮЧЕНИЕМ, ВОСТАНОВЛЕНИЯ СИСТЕМЫ. Как вызвать своиства моего компьютера, упираюсь в rundll32.exe





Результат загрузки

Файл сохранён как080405_070931_virus_47f76bfb14d7e.zipРазмер файла91568MD5c09e12ff4123da537db19c35c0644bc1Файл закачан, спасибо!

[Bratez]

Давайте новые логи, посмотрим, что осталось.

[redfast23]

Доброго утра.
Вот собрал логи, только опять же не удалось отключить в винде согласно пункту 7.

[Bratez]

Что происходит при попытке отключать восст. системы?

[redfast23]

Проблемма в том, что я не могу туда добраться, по инструкции. Приходится использовать комб: WIN-E. А далле при попытке вызвать на ярлыке мой компьютер своиств, выдает ошибку связанную с rundll32.exe

[Bratez]

Попробуйте выполнить скрипт из сообщения #2 в безопасном режиме (я его чуть-чуть подправил). При перезагрузке снова входите в безопасный и отключайте восстановление, надеюсь это получится. Затем перезагрузитесь в обычный режим и сделайте новые логи.

Добавлено через 1 минуту

И еще - при выполнении скрипта выходит сообщение "Скрипт выполнен без ошибок" или нет?

[redfast23]

В безопасном режиме к сожалению АВЗ вообще не смог запуститься!

присоединенное к системе устроитсво не работает.

[wise-wistful]

Вы АВЗ с внешнего носителя запускаете?

[redfast23]

нет! запускаю с логического диска D. винчестер один. ума не приложу

[wise-wistful]

Так а что пишет в защищённом режиме (при запуске АВЗ)?

[redfast23]

вот что пишет:
присоединенное к системе устроитсво не работает.

[Bratez]

Выполните такой скрипт:

begin
 RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Hardware Profiles\0001\System\CurrentControlSet\Enum\ROOT\LEGACY_Pwd53\0000', 'CSConfigFlags', '1');
 BC_QrFile('C:\WINDOWS\System32\drivers\Pwd53.sys');
 BC_DeleteSvc('Pwd53');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\Pwd53.sys');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log');
 BC_Activate;
 RebootWindows(true);
end.

после перезагрузки приложите сюда файл boot_clr.log из папки с AVZ.
Если вдруг система не загрузится - по F8 выбирайте "Последнюю удачную конфигурацию".

[redfast23]

скрипт выполнил а файла не создается.
В перезагрузку пришлось пускать вручную...

[Bratez]

Теперь выполните снова фикс и скрипт из сообщения #2
и сделайте логи, начиная с п.10 правил.

[redfast23]

запустил указания сообщения №2. вот лог запуска в АВЗ

Сейчас перезагружусь и выполню с 10 пункта правил.

[redfast23]

вот логи по правилам.

[Bratez]

1. Скачайте эту программу:
http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip
Распакуйте, запустите, слева внизу File,
найдите C:\WINDOWS\System32\drivers\Pwd53.sys
и сделайте ему Force Delete.
2. Выполните скрипт в AVZ:

begin
 BC_DeleteSvc('symavc32');
 BC_DeleteSvc('Mwqk68');
 BC_DeleteSvc('Pwd53');
 BC_DeleteSvc('Schedule');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\ndisaluo.sys');
 BC_DeleteFile('C:\WINDOWS\system32\Drivers\Pwd53.sys');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
BC_Activate;
ExecuteRepair(1);
ExecuteRepair(6);
RebootWindows(true);
end.

3. Попробуйте таки отключить восстановление системы.
4. Повторите лог syscheck (п.10 правил).

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\gh0st.exe - Worm.Win32.Fujack.ca (DrWEB: Win32.HLLW.Whboy)
  2. c:\\windows\\system32\\drivers\\svchast.exe - Worm.Win32.Fujack.ca (DrWEB: Win32.HLLW.Whboy)
  3. c:\\windows\\system32\\wlctrl32.dll - Trojan-Downloader.Win32.Mutant.da (DrWEB: Trojan.DownLoader.54123)
  4. d:\\gh0st.exe - Worm.Win32.Fujack.ca (DrWEB: Win32.HLLW.Whboy)