explorer.exe - ошибка приложения

[Вячеслав Рем]

При попытке открыть диск или документ пишет "explorer.exe - ошибка приложения" "Инструкция по адресу ... обратилась к памяти по адресу ... . Память не может быть "written". В инете об этой проблеме написано всё и одновременно ничего конкретного.

[Info_bot]

Уважаемый(ая) Вячеслав Рем, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

HiJackThis (из каталога autologger)профиксить

R3 - HKU\.DEFAULT\..\URLSearchHooks: (no name) -  - (no file)
R3 - HKU\.DEFAULT\..\URLSearchHooks: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
O2 - HKLM\..\BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - HKLM\..\Run: [ApnUpdater] = C:\Program Files\Ask.com\Updater\Updater.exe

- Подготовьте лог AdwCleaner и приложите его в теме.

Уточните пожалуйста, если временно удалить антивирус DrWeb, проблема проявляется (предварительно сохраните настройки антивируса и лицензию)?

[Вячеслав Рем]

HiJackThis профиксил указанные строки.
AdwCleaner не запускается, ссылаясь на то, что "не был найден dwmapi.dll. Повторная установка приложения может исправить эту проблему." Но повторное скачивание и запуск заканчиваются тем же.
Удаление Dr.Web ничего не изменило.

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Вячеслав Рем]

Сканировал Farbar Recovery Scan Tool. Отчеты прилагаю.

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  Toolbar: HKU\S-1-5-21-1547161642-562591055-725345543-1003 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
  CHR HKLM\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
  S3 2365B52934; no ImagePath
  S3 4F88A1CC76A4873E; no ImagePath
  S3 4F88A1CCA9CD2418; no ImagePath
  S3 4F946240A3F57298; no ImagePath
  S3 4F9462920D4D6098; no ImagePath
  S3 4F947E786B0FA3BE; no ImagePath
  S3 4F9636E9233E7218; no ImagePath
  U4 JavaQuickStarterService; no ImagePath
  ContextMenuHandlers5: [ACE] -> {5E2121EE-0300-11D4-8D3B-444553540000} =>  -> No File
  Task: C:\WINDOWS\Tasks\kakouch.job => C:\Documents and Settings\All Users\Application Data\Mozilla\jlezhqe.exe
  Zip: C:\Documents and Settings\All Users\Application Data\Mozilla\jlezhqe.exe
  C:\Documents and Settings\All Users\Application Data\Mozilla\jlezhqe.exe
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

На рабочем столе образуется карантин <date>.zip загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Обнаружен руткит:

HKLM\SYSTEM\CurrentControlSet\Services\45834519A7BC6122 <==== ATTENTION (Rootkit!)

Сделайте лог gmer

[Вячеслав Рем]

Высылаю запрошенные файлы. Не уверен, но похоже, что Gmer не до конца смог все просканировать. А на отправку карантина ругается "Ошибка загрузки. Данный файл уже был загружен". Проблема осталась.

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM\SYSTEM\CurrentControlSet\Services\45834519A7BC6122 <==== ATTENTION (Rootkit!)
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Вячеслав Рем]

Высылаю лог-файл FRST. Проблема осталась.

[SQ]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Вячеслав Рем]

Полный образ автозапуска.

[SQ]

Выполните скрипт в uVS:

;uVS v4.0.11 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v400c
OFFSGNSAVE
BREG
delref %Sys32%\DRIVERS\51191950.SYS
delref HTTP://WEBSEARCH.ASK.COM/REDIRECT?CLIENT=IE&TB=NCH2&O=APN10113&SRC=CRM&Q={SEARCHTERMS}&LOCALE=RU_RU&APN_PTNRS=^A5O&APN_DTID=^YYYYYY^YY^RU&APN_UID=A728BD9D-98B9-4B55-AEAA-E161A5F3C5F9&APN_SAUID=76452B39-526D-4E45-8D30-3C44E40C5DE9
delref %SystemDrive%\TEMP\592C97B736.SYS
restart

[Вячеслав Рем]

Скрипт в uVS выполнен, но карантина в папке uVS нет и проблема не исправилась.

[SQ]

Приложите пожалуйста новые логи утилиты FRST.

[Вячеслав Рем]

Сканировал Farbar Recovery Scan Tool. Отчеты прилагаю.

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  File: C:\WINDOWS\system32\HotFixQ0306270.exe
  KLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "C:\Documents and Settings\All Users\Application Data\ICQ\ICQNewTab\newTab.html" <==== ATTENTION
  S2 HidServ; C:\WINDOWS\System32\svchost.exe [14336 2008-04-14] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
  File: C:\WINDOWS\System32\drivers\RtHDMI.sys 
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Вячеслав Рем]

Высылаю лог-файл FRST. Во время работы FRST появлялось то самое сообщение. Проблема осталась.

[SQ]

Уточните пожалуйста в безопасном режиме проблема воспроизводится?

Есть подозрения, что виновником является антивирус Dr.Web.

[Вячеслав Рем]

Извините, забыл уточнить, что с самого начала пробовал загружаться в безопасном режиме и проблема не исчезала. Сейчас удалил Dr.Web., зашел в безопасном режиме, проблема снова воспроизвелась. При попытке открыть "Мой компьютер" или, например, документ в Word появляется сообщение.