Не запускается AVZ, безопасный режим, долго загружается рабочий стол.

**00elen** · 24.04.2008, 10:46

День добрый, кажется подхватила какой-то вирус.
Восстановление системы отключила.
AVZ ткрывается и гаснет через 4 секунды. Но вчера удалось реанимировать безопасный режим и Cureit.exe выдал srvany.exe подозрение на вирус. БОльше ничего не нашел. семантик и adaware тоже.
Сегодня безопасный режим и AVZ опять не работают.

Спасибо!
Елена

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**wise-wistful** · 24.04.2008, 10:57

Скачайте переименованный IceSword (его exe-файл в hockey.pif)
Запустите программу.
Зайдите слева в меню Process. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Зайдите в меню Kernel Module. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Оба лога запакуйте в один архив и прикрепите архив.

**drongo** · 24.04.2008, 11:03

avptool запускать пробовала? там есть возможность сделать лог avz http://avptool.virusinfo.info/ru/AVPTool_manual.htm

**00elen** · 24.04.2008, 11:28

Сообщение от wise-wistful

Скачайте переименованный IceSword (его exe-файл в hockey.pif)
Запустите программу.
Зайдите слева в меню Process. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Зайдите в меню Kernel Module. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Оба лога запакуйте в один архив и прикрепите архив.

Сделано

**wise-wistful** · 24.04.2008, 11:41

Запустите IceSword, зайдите слева в меню "Processes"
Выберите:
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
И если есть windows\system32\mdelk.exe
Так вот нажмите по каждому из этих процессов правой кнопкой мыши и выберите "Terminate Process".

Потом внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы и удалите с помощью force delete (нажмите по ним правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да"):
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe

Посмотрите там, есть ли папка WINDOWS\system32\drivers\down
если есть, то force delete для папки down (папка называется down, ни в коем случае не перепутайте с папкой drivers)

Найдите в IceSworde следующие параметры из ключа системного реестра (зайдите в меню: Registry):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "drvsyskit"
параметр называется "drvsyskit", удалите его.

Найдите параметр
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "german.exe"
параметр называется "german.exe", удалите его.

Посмотрите, есть ли ключ реестра
HKEY_CURRENT_USER\Software\FirstRRRun
Если есть, удалите ключ FirstRRRun.

Посмотрите, есть ли ключи реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\srosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\s rosa (не обращайте внимание на пробел в слове "srosa" и некотрые другие пробелы в некоторых местах, их не должно быть, какой-то баг форума).
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\s rosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\s rosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\s rosa
Если есть, удалите в них ключ srosa.
Перезагрузите компьютер.

Пробуйте запустить АВЗ. Если не получается, скачайте АВЗ ещё раз.

**00elen** · 24.04.2008, 11:52

Есть папка C:\WINDOWS\system32\drivers\downld удалять?

а также (на всякий случай заодно спрошу):
C:\WINDOWS\system32\drivers\disdn
C:\WINDOWS\system32\drivers\etc
C:\WINDOWS\system32\drivers\umdf ?

**Гриша** · 24.04.2008, 11:54

Эту C:\WINDOWS\system32\drivers\downld нужно тоже удалить

**00elen** · 24.04.2008, 13:05

Этогоненашла: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "drvsyskit"
Этогоненашла: HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "german.exe"

Посмотрите, естьлиключреестра
HKEY_CURRENT_USER\Software\FirstRRRun
Если есть, удалите ключ FirstRRRun. Удалила!

Посмотрите, есть ли ключи реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\srosa Удалила!

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\s rosaУдалила!

Папку в System32\drivers\down что то там тоже удалила - там были одни экзешники

Теперь ситуация:
1. Безопасный режим пока не заработал - перестал даже вылетать в перезагрузку, просто зависает.
2. Заработал Симанте и сразу начал чичтить и помещать в карантин следующие вирусы:
Hacktool.Rootkit http://securityresponse.symantec.com...011710-0057-99
Trojan Horse http://securityresponse.symantec.com...021914-2822-99

3. ЗАработал AVZ
Логи теперь:

**wise-wistful** · 24.04.2008, 13:19

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\winio.sys','');
 QuarantineFile('ldr64.dll','');
 QuarantineFile('C:\WINDOWS\System32\service.exe','');
 DeleteFile('ldr64.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(10);
BC_Activate;
RebootWindows(true);

end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=21993

2.Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

Код:

O20 - Winlogon Notify: ldr64 - ldr64.dll (file missing)

**00elen** · 24.04.2008, 13:45

После прогона скрипата заработал Безопасный режим

,
однако рабочий стол и мои Setings загружаются очень долго.
Файл карантина послала.

**Гриша** · 24.04.2008, 14:29

winio.sys

Вредоносный код в файле не обнаружен.

**00elen** · 24.04.2008, 14:33

Присылаю логи еще раз

**kps** · 24.04.2008, 14:36

Скачайте и проверьте компьютер самой свежей версией AVPTool, на случай, если от червя что-нибудь завалялось.

**00elen** · 24.04.2008, 14:57

Сообщение от Гриша

winio.sys

Вредоносный код в файле не обнаружен.

Почему-то в прошлый раз у меня не отобразилось в карантине еще два файла! Теперь они там есть и я их посылаю!
Спасибо!

Добавлено через 1 минуту

Сообщение от kps

Скачайте и проверьте компьютер самой свежей версией AVPTool, на случай, если от червя что-нибудь завалялось.

Буду пытаться, хотя, честно говоря, уже не верю, что поможет!

Просто процесс будет очень долгий

**kps** · 24.04.2008, 15:14

Почему же не верите, Вы уже удалили активные файлы одного из самых трудноудаляемых червей, а это большое достижение.

После проверки AVPTool, выполните такой скрипт в AVZ:

Код:

begin
  DeleteFile('C:\WINDOWS\System32\service.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('WSCM');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи, начиная с пункта 10 правил.

**00elen** · 25.04.2008, 11:48

Сделано! При загрузке Виндов, после логотипа Windows на черном фоне долго горит черный экран, загрузка Settings и рабочего стола производится дого, правда это, может можно исправить обновив систему поверх старой, пока не пробовала.
Вот логи:

**kps** · 25.04.2008, 16:05

Выполните скрипт в AVZ:

Код:

begin
 QuarantineFile('D:\Games\crack\showcase.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин.

Пофиксите в HijackThis:

Код:

O20 - Winlogon Notify: ldr64 - C:\WINDOWS\

По поводу долгой загрузки - зайдите в
Пуск - Выполнить - напишите msconfig - ok - на закладке "Автозапуск" уберите птички со всего ненужного Вам для автозагрузки при старте Windows, сохраните изменения и перезагрузите компьютер.

**00elen** · 25.04.2008, 16:54

Все сделала, карантин отправила.
Спасибо!

**Гриша** · 25.04.2008, 17:00

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
DeleteFile('D:\Games\crack\showcase.exe ');
RebootWindows(false);
end.

Повторите последний лог.

**00elen** · 25.04.2008, 18:10

Точнее НОВЫЕ, а то "последние" звучит фатально.

Не запускается AVZ, безопасный режим, долго загружается рабочий стол. (заявка № 21993)

Опции темы