Ошибка типа: Инструкция по адресу "0x0013cea3" обратилась...

[shadow_13]

Добрый день! Суть проблемы: при запуске любого любого приложения выскакивает критическая ошибка такого рода: "Инструкция по адресу "0x0013cea3" обратилась к памяти по адресу "0x0019c000". Память не может быть "read"". Естественно ничего не запускается в итоге работа системы фактически парализована из программ работает только проводник по быстрой клавише Win+E. Через ярлыки и главное меню тоже ничего не запускается. Такая байда началась со вчерашнего вечера, пытался чето скачать с инета, неожиданно начал ломится в инет файл services.exe (у меня установлен ZoneAlarm)...Вот впринципе и все что произошло. Подскажите че да как..Файлы в соответствии с вашими инструкциями прикрепил. Спасибо.

[Bratez]

Пофиксите в HijackThis:

R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\System32\ntos.exe,
O4 - HKLM\..\RunServices: [HOT FIX] R0chis.exe
O4 - HKUS\S-1-5-18\..\Run: [Windows LoL Layer] zyjrune.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [HOT FIX] R0chis.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [Windows hes Layerz] hycfjc.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [HOT FIX] R0chis.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [HOT FIX] R0chis.exe (User 'Default user')
O16 - DPF: {33331111-1111-1111-1111-611111193423} - 
O16 - DPF: {33331111-1111-1111-1111-611111193429} - 
O16 - DPF: {33331111-1111-1111-1111-615111193427} - 
O16 - DPF: {33331111-1131-1111-1111-611111193428} - 
O21 - SSODL: Systemcheck2 - {54645654-2225-4455-44A1-9F4543D34546} - (no file)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\DeN\Шаблоны\A.kotnorB.com','');
 QuarantineFile('zyjrune.exe','');
 QuarantineFile('hycfjc.exe','');
 QuarantineFile('R0chis.exe','');
 QuarantineFile('C:\WINDOWS\System32\ntos.exe','');
 QuarantineFile('C:\DOCUME~1\DeN\LOCALS~1\Temp\ldiskl.sys','');
 QuarantineFile('C:\WINDOWS\System32\mobilev.acm','');
 QuarantineFile('C:\WINDOWS\system32\dnserv.dll','');
 DeleteFile('C:\WINDOWS\System32\ntos.exe');
 DeleteFile('C:\WINDOWS\Tasks\At1.job');
 DeleteFile('C:\Documents and Settings\DeN\Шаблоны\A.kotnorB.com');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=26238).

Обновите базы AVZ!
Сделайте новые логи.

[shadow_13]

Спасибо, основная проблема решена, остались еще некоторые. Новые логи присоединил, файлы отправил.

Еще есть такая проблема, точней их две, но у меня есть подозрения, что они взаимосвязаны:
1.С завидной регулярностью в инет ломится программа Ftp.exe, причем без видимых на то причин
я её блокирую zoneAlarm' ой ибо если разрешать то после того как она "что то скачает" появляются еще более причудливые программы которые в свою очередь тоже ломятся в инет с такими названиями как "gt6yy5m4.exe" итд также наблюдается вторая чатсь проблемы после того как Ftp.exe замечен в попытке залезть в инет, если заблокировать комп посредством Win+L (синий экран приветствия со списком пользователей) при попытке вновь войти в систему пароль от учетной записи вупор не подходит (пишет что не верный) хотя после перезагрузки с этим же паролем входит...
вот такие чудеса.

Спасибо.

[Bratez]

В карантине:
dnserv.dll - Trojan-PSW.Win32.Agent.aks
ntos.exe - Trojan-Spy.Win32.Zbot.dag

Скачайте заранее программу WinSockXPFix:
http://www.tksinc.us/downloads/WinsockXPFix.exe

Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\System32\ntos.exe,

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\dnserv.dll');
 DeleteFile('C:\WINDOWS\System32\ntos.exe');
DelSPIByFileName('dnserv.dll',true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(14);
RebootWindows(true);
end.

Компьютер перезагрузится.

Если пропадет связь с локалкой и/или интернетом, воспользуйтесь скачанной программой.

Сделайте новые логи, начиная с п.10 правил.

Добавлено через 1 минуту

P.S. После лечения обязательно поменяйте все пароли, они уже украдены!

[shadow_13]

Здравствуйте, все проделал как Вы написали, сеть действительно пропадала, даже комп нехотел грузиться, я думал ахтунг=) но вроде потом загрузился с трудом, потом я профиксил этой програмкой вроде все ок стало, новые логи прицепил..вроде все. *ушол менять пароли*

p.s: если не сложно, посоветуйте какой-нибудь нормальный резидентный файрвол и/или антивирус, а то моя связка ...(Dr.Web + ZoneAlarm), как выяснилось неэффективна

p.p.s: Спасибо!

[PavelA]

Др.Веб 4.44 очень даже неплохо справляется, если базы обновляются.
Плюс стать "обычным пользователем", а не администратором.

[shadow_13]

на счет понижения в правах идея пришлась по вкусу-сделал, DrWeb, впринципе неплох, но видимо не до такой степени т.к базы обновляю регулярно + spider постоянно висит, однакож...проблемы возникают. Ftp.exe снова себя обнаружил в попытке выйти в инет ) также попробывал вломиться EXPLORER.EXE тот который проводник..какойто процесс слушает 667 порт об этом сообщает ZoneAlarm. Подскажите че еще сделать.я уже не знаю))

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\dnserv.dll - Trojan-PSW.Win32.Agent.aks (DrWEB: Trojan.Sniff.84)
  2. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.dag (DrWEB: Trojan.Proxy.336