Синий экран PAGE_IN_NONPAGED_AREA

[seezamm]

Постоянно вываливается в синий экран с данной надписью и следом в перезагрузку.
Защищенный режим работает нормально. Пытался чистить из под него CureIt -ом и на свой страх и риск ComboFix-ом.
Результата это не дало.
Причиной как не странно по-моему была попытка установить Google Crome. Он установился с ошибкой. Ругался. Снес я его -в общем то ставил чисто из любопытства.
А после этого начались эти приключения.
Причем иногда сразу после загрузки уходит в синий экран, а иногда некоторое время ведет почти нормально.

[Bratez]

1. Отключите восстановление системы!

2. Отключив антивирус и Spyware Doctor, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\HDBHO.dll','');
QuarantineFile('C:\WINDOWS\System32\frmwrk32.exe','');
QuarantineFile('C:\WINDOWS\system32\twext.exe','');
DeleteFile('C:\WINDOWS\system32\twext.exe');
DeleteFile('C:\WINDOWS\System32\frmwrk32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Atisfyagui');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

3. Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=42463).

4. Сделайте новые логи в нормальном режиме.

[seezamm]

Вот новые логи.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{02DCA195-602B-4B1F-83FF-381B7E804BDB}');
 DeleteFile('frmwrk32.exe');
 DeleteFile('C:\WINDOWS\system32\HDBHO.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[seezamm]

Выполнил последний скрипт.
Компьютер нормально перегрузился.
После этого:
1. В нормальном режиме компьютер не дает запускать программы - сразу уходит на перезагрузку.
2. Синего экрана перед перезагрузкой уже нет.
3. При загрузке системы в нормальном режиме не появляется значек наличия сети (справа в трее). От сети компьютер отключен. Но значек с ее отсутствием появлялся.

Собрать логи удалось только в защищенном режиме.

[Гриша]

Накатите винду в режиме восстановления, сами себя в гроб загнали с SP1

http://support.microsoft.com/kb/315341/ru

[seezamm]

То есть можно сказать, что вредоносных программ на нем уже нет - и идет просто сбой системы?

Может быть попробовать через Hijack поотключать какие-нибудь загрузочные процессы. Антивирус и.т.д? Или это бессмысленно...

[Гриша]

Вредоносного не видно, а то вот то, что система-корыто заметно...

[seezamm]

Кое как поборол ручками.
Новый карантин отправлен с файлом nup.sys
Вот новые логи, сделанные в нормальном режиме.
Посмотрите, может еще что-то нужно пофиксить.

Вызывает подозрение, что копм делает постоянно посылы пакетов.
Чем можно посмотреть какое приложение этим занимается?

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Nup');
 DeleteFile('C:\WINDOWS\System32\DRIVERS\nup.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Nup');    
BC_Activate;
RebootWindows(true);
end.

Повторите пункт 2 диагностики...

[seezamm]

Скрипт выполнил - вот логи по пункту 2 диагностики и на всякий случай HijackThis.
Система вроде ведет себя нормально, не тормозит.
Наверно на этом можно остановиться.
Нужно ставить SP2-SP3.

Спасибо за помощь!

[light59]

"Пофиксите" в HijackThis

O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - C:\Program Files\McAfee\VirusScan Enterprise\Scriptcl.dll (file missing)
O2 - BHO: IE 4.x-6.x BHO for Download Master - {9961627E-4059-41B4-8E0E-A7D6B3854ADF} - C:\PROGRA~1\DOWNLO~1\dmiehlp.dll (file missing)
O3 - Toolbar: DM Bar - {0E1230F8-EA50-42A9-983C-D22ABC2EED3C} - C:\Program Files\Download Master\dmbar.dll (file missing)

Установите SP3 (может потребоваться активация) + последующие обновления.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\frmwrk32.exe - Trojan-Downloader.Win32.Agent.bozf ( DrWEB: Trojan.Fakealert.4094 )
  2. c:\windows\system32\hdbho.dll - Trojan-Downloader.Win32.Agent.bozg
  3. c:\windows\system32\twext.exe - Trojan-Spy.Win32.Zbot.qpi ( BitDefender: Trojan.Spy.ZBot.QP )
  4. \nup.sys - Trojan.Win32.SpBot.n
  5. \nup.sys.000003e9.dll - Trojan.Win32.Agent.bzlj ( BitDefender: BehavesLike:Trojan.FirewallBypass )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !