Что-то Ест место на C:\

[Loki3d]

помогите выявить вирус
Вирус проявляет себя тем, что пишет уйму файлов в C:\WINDOWS\PCHEALTH\ERRORREP\UserDumps
файлы с маской svchost.exe.&Дата&-хххххх-yy.hdmp каждый размером 125-128 Мб

в безопасном режиме прогнал CureIt. Удаление найденных им вирусов не помогло.
прогнал AVZ. логи приложил.

[wise-wistful]

Обновите базы АВЗ.
Отключите восстановление системы.
Скачайте IceSword.
Запустите программу.
Внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\system32\Drivers\ati2ejxx.sys.
Появится аналог проводника. Найдите в нем файл руткита, путь к которому Вам написал хелпер.
Нажмите по нему правой кнопкой мыши и выберите Copy to.
Выберите папку, куда Вы хотите скопировать файл и перед сохранением внизу набирите произвольное имя файла, например ati2ejxx.ddd

Нажмите по нему правой кнопкой мыши и выберите force delete.
На запрос потверждения ответьте "да".


1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\twext.exe','');
 QuarantineFile('C:\DOCUME~1\ZHIRNO~1\LOCALS~1\Temp\XsJ8HVG0.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\ati2ejxx.sys','');
 QuarantineFile('C:\WINDOWS\system32\baseixb32.dll','');
 DeleteFile('C:\WINDOWS\system32\baseixb32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\ati2ejxx.sys');
 DeleteFile('C:\DOCUME~1\ZHIRNO~1\LOCALS~1\Temp\XsJ8HVG0.sys');
 DeleteFile('C:\WINDOWS\system32\twext.exe');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
BC_ImportAll;
BC_DeleteSvc('ati2ejxx');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=32501
ati2ejxx.ddd - то же вышлите по той-же ссылке в архиве с паролем virus.

Повторите логи.

[Loki3d]

попутно была проблема с загрузкой Explorer привходе в систему..
т.е. пользователь логинился и получаль только обои Раб.стола
Далее C-A-D и запуск процесса explorer
На форуме нашел совет что лечиться через AVZ- Восстановление системы -Восстановление настроек рабочего стола и восстановление настроек проводника..
Применил скрипты.. Так же применил Скрит, который в выложили.. после этого не могу залогиниться.
после ввода пароля система завершает сеанс пользователя и снова предлагает произвести вход. Аналогично под всеми учетками и в безопасном режиме

[AndreyKa]

Проверьте, что есть ключ Userinit
в разделе HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
со значением: C:\WINDOWS\system32\userinit.exe,
И что сам файл userinit.exe на месте.

Ключ реестра можно посмотреть через программу regedit, подключившись к проблемному компьютеру по сети с правами его администратора.

[Loki3d]

Ключ есть, файла нет...
щас попробую подложить с рабочей версии WIN

Добавлено через 28 минут

Скопировал, помоголо.. Большое спасибо за оперативную помощ.
Щас получаю рабочий стол..

Добавлено через 19 минут

Ключ есть, файла нет...
щас попробую подложить с рабочей версии WIN

Добавлено через 28 минут

Скопировал, помоголо.. Большое спасибо за оперативную помощ.
Щас получаю рабочий стол..

Высылаю вам карантин, а так же ati2ejxx.ddd.zip с паролем virus

[AndreyKa]

twext.exe - Trojan.Win32.Pakes.lge (новый)
ati2ejxx.ddd - Rootkit.Win32.Protector.bd

Сделайте логи для контроля. И не забудьте oбновите базы AVZ.