Microsoft winword standart - проблема с документами - сгорают

[s1flashg]

во время работы в winword
1 начинают вылетать сообщения что НЕ УДАЕТСЯ ЗАВЕРШИТЬ СОХРАНЕНИЕ ИЗ-ЗА ОШИБКИ ДОСТУПА К ФАЙЛУ и остается только нажать на ок
2 заголовок окна winword меняется с ДОКУМЕНТ.DOC меняется на ~tmpxxxx.tmp
3 пока клацаешь на ок несколько раз .. вот столько рас сколько кликнул в диске C:\ появляются файлы копия, копия1 , копияN.doc порой до 10 штук.

что интересно форматировал комп и с компом было все ок пока с переформатированным компом не поделятся .doc файлами с другого уже такого так сказать зараженного компа, какой конкретно doc файл привел к такому не понятно,

что интересно если даже уже такое заражение произошло и перестать работать (пользоваться) winword а использовать либре офис то все ок.

ни один антивирус после полного сканирования пк включая все док файлы не находит вирус

микрософт отказался помогать так как офис 2003 версии.

но сотрудники не хотят ни то что на либре даже на офис 2007 переходить.Screenshot_1.jpg

[Info_bot]

Уважаемый(ая) s1flashg, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

[s1flashg]

запустил утилиту ... прогнал и вот вложил лог

[SQ]

HiJackThis (из каталога autologger)профиксить

O3 - HKCU\..\Toolbar: (no name) - {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} - (no file)
O4 - HKLM\..\Session Manager: [BootExecute] = (no file)

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 ExecuteRepair(10);
RebootWindows(false);
end.

После выполнения скрипта компьютер перезагрузится.


- Подготовьте лог AdwCleaner и приложите его в теме.

[s1flashg]

выполнил все действия, и вкладываю лог

делал лог 6 версией так как 7 версия на экспи не запускается

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[s1flashg]

про сканировал вот логи

ps примечание

Скрытый текст

чтобы хоть както хоть частично сохранить данные в самом уорде в параметрах сохранения поставил галку создавать резервную копию и теперь к каждо созданному документу идет своя копия не вирусная, а резервная и вот когда работаешь с документом и случается сгорание документа ... и вот подробней:

вирус грохнул документ уже не первый раз заметил, что ведет именно так, и еще начали вылетать ошибки того что и копия не может быть сохранена, причем в сообщение об ошибке говорится что типа проблема с сетевым носителям типа переподключите сетевой, какой сетевой диск он локальный? и так физически исчез оригинал, а копия не открывается пишет ошибка, в этот момент диск С заполняется левыми файлами копия.doc ,копию не убил, но заблочил!!, но решил перепроверить, перезапустил комп и копия после открылась, значит в случае инцидента на документ, чтобы получить к данным через копию, нужно после инцидента ребутить пк, и так данные с копии можно вытащить,

Скрыть

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  File: C:\windows\system32\mswsock.dll
  HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "" <==== ATTENTION
  SearchScopes: HKLM -> DefaultScope value is missing
  File: C:\windows\System32\termsrv.dll
  File: C:\windows\System32\DRIVERS\lirsgt.sys
  File: C:\windows\system32\Drivers\ute1nte3.sy
  File: C:\windows\system32\winlogon.exe
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0000002F-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020420-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020421-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020422-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020423-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020424-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{00020425-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0002E005-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35200-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35201-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35202-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35203-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{0BE35204-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{44EC053A-400F-11D0-9DCD-00A0C90391D3}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{46763EE0-CAB2-11CE-8C20-00AA0051E5D4}\InprocServer32 -> no filepath
  CustomCLSID: HKU\S-1-5-21-2913264169-977797711-1672522591-1006_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> no filepath
  ContextMenuHandlers5: [ACE] -> {5E2121EE-0300-11D4-8D3B-444553540000} =>  -> No File
  AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:58A5270D [166]
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[s1flashg]

сделал лог прикладываю...

вопрос: а вот все эти действия если они помогут на этом компьютере помогут ли они на других также зараженных пк, компы клоны (дублированы акронисом)?

[SQ]

Похоже у Вас обнаружен Win32/Spy.Ursnif.A:

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  Zip: C:\windows\System32\termsrv.dll
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

На рабочем столе образуется карантин вида <date>.zip загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

[s1flashg]

termsrv.dll - ну это я создал RDP в паралельной сессии изначально давно может лет 7 назад эта штука у меня, и на уорд это ни как ни вляло, это чтобы я мог в режиме терминала работать паралельно с пользователем ... иначе до компа не допускают

не убёт ли мне терминал такая вот команда ?

Скрытый текст

Код:

CreateRestorePoint:
CloseProcesses:
Zip: C:\windows\System32\termsrv.dll
R3 TermService; C:\windows\System32\termsrv.dll [295936 2008-06-09] (Корпорация Майкрософт) [File not signed]
C:\windows\System32\termsrv.dll
Reboot:

Скрыть

мне нужен этот терминал

[SQ]

вопрос: а вот все эти действия если они помогут на этом компьютере помогут ли они на других также зараженных пк, компы клоны (дублированы акронисом)?

Скорее всего не самая лучшая идея будет. Есть вероятность, что ОС может заражена разными вирусами.

- - - - -Добавлено - - - - -

не убёт ли мне терминал такая вот команда ?

Может убить, я изменил фикс, оставил только взятия в карантин. Могли бы пожалуйста отправить файл это в карантин?

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  Zip: C:\windows\System32\termsrv.dll
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

- - - - -Добавлено - - - - -

Получается, так что данный файл некоторыми антивирусами определяют тип - spyware. Я бы хотел бы отправить на анализ этот файл для подтверждения.

[s1flashg]

ZIP и сюда вложил и ... отправлю на ту проверку что вы указали выше...

этот терминал не позволяет наблюдать как к примеру можно делать в раадмине просматривать ... он позволяет управлять компом не мешая пользователю, т.е делать настройки в компе не беспокоя пользователя, (а точнее не уговаривая пользователя дать комп на минут 30 потому что он занят и не пустит)

Скрытый текст

Результат загрузки
Файл сохранён как 180705_121257_05.07.2018_17.00.48_5b3e0b497a714.zip
Размер файла 155087
MD5 f2377db6dc4b3978a232b478e33236a7
Файл закачан, спасибо!

Скрыть

ps что интересно вот среди этого вируса который убивает уорд

100% на всех компах стоит терминал и терминал установлен 7 лет уже ... а проблема с уордом началась только в этом году 2018 в январе или в феврале... сперва я чистил пк (форматировал и с 0 ставил до тех пор пока не обменяются документами уорда зараженный и не зараженный пк)...
но проблема с уордом на 50-60% компов ... вот я просто не открываю ни один уорд тот что у тех у кого он заражен ... и те кто также не взаимодействуют с отделами которые заражены (не понятным уордовским вирусом) также не имеют проблем с уордом

[SQ]

Проблема с Word еще актуальна?

[s1flashg]

проблема актуально, на данном компе где я делал выше указанные вами тесты .. щас сотрудницы нет ... в отпуске но я знаю что там уорды сгорают ... сгорают в произвольное время 2-3 документа за 5 дней какой и когда сгорит не ясно

а что выше описанные тесты должны были починить комп?

если да то можно проделать те же действия и на других компах .. чтобы решить проблему?

[SQ]

Dr.Web - Program.TermSrvPatch.1

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[s1flashg]

я вложил архив...
на предыдущий вопрос актуальна ли тема да она актуальна, в общем так как так сказать эпидемия есть так сказать ...
а вот ранее проделанные действия решили ли проблему с данным компом на котором проделываются действия я не знаю ..
я жду когда вы скажите что проблема решена или в чем именно проблема ...

проверять начну когда вы скажите но тут надо комп держать включенным неделю с запущенными уорд документами и ждать...

спасибо что помогаете.

я вложил лог что вы просили ... дальнейшие рекомендации уже буду выполнять завтра ... сегодня рабочий день закончен.

[SQ]

Выполните скрипт в uVS:

;uVS v4.0.11 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v400c
OFFSGNSAVE
BREG
zoo %SystemRoot%\DEPO.SCR
delref %SystemDrive%\PROGRA~1\MSNGAM~1\WINDOWS\ZCLIENTM.EXE
delref %SystemDrive%\PROGRA~1\WINDOW~2\MPVIS.DLL
restart

Уточните пожалуйста, случайно проблемы не начались после установки антивируса KES?

[s1flashg]

уже из дома удаленно ...
Так скрипт я выполнил, но вы не сказали а после этого скрипта нужны какие нибудь логи ? хотя никаких логов я не увидел

Уточните пожалуйста, случайно проблемы не начались после установки антивируса KES?

Да!!! до этого был KAV6 и с ним не было проблем но потом написали что с 2018г KAV перестает поддерживаться, и пришлось на всех машинах KAV поменять на KES10

и KES у нас куплен еще на 2 года вперед так что поменять его не получится

и так скрипт выполнил, а что дальше