wuauclt.exe очень надоедлив

[hodok]

Некоторое время назад, был замечен zpx2. Был успешно (надеюсь!) побежден одним из описанных здесь способов, а может быть как раз и не до конца побежден, но всяком случае теперь картинки с «этим самым» содержанием у IE нет и все было нормально, но после обновления IE до 8 и установки 3 SP теперь постоянно (раз 15-20 в течение первых минут работы компа) выскакивает сообщение: «wuauclt.exe Инструкция по адресу 0x6f99dl14c обратилась к памяти по адресу 0xffffffff. Память не может быть read». В Task Manager то есть этот процесс и нажатие «Завершить процесс» ни к чему не приводит и он появляется снова (это настораживает); то его не видно, но сообщение все равно выскакивает. Через некоторое время вся эта байда пропадает. Обновление отключено. Каспер ничего не обнаруживает.

Ну вот…. ХЕЛП, плиз.!

[light59]

Какой такой способ тут был описан?

В AVZ -> файл-> Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\desktop(3).ini','');
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\desktop(2).ini','');
 DeleteService('bfastfao');
 DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\bfastfao.sys');
 DeleteFile('digeste.dll');
 DeleteFile('none');
 DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\desktop(2).ini');
 DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\desktop(3).ini');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=42702
Повторите логи.

[hodok]

Все сделал, карантин отправил, логи в приложении.

Ничего не изменилось - та же череда сообщений о той же самой ошибке сразу после запуска системы.

Способ по zpx2 был такой http://virusinfo.info/showpost.php?p=366130&postcount=2

[Bratez]

Пофиксите в HijackThis:

O4 - S-1-5-18 Startup: desktop(2).ini (User 'SYSTEM')
O4 - S-1-5-18 Startup: desktop(3).ini (User 'SYSTEM')
O4 - .DEFAULT Startup: desktop(2).ini (User 'Default user')
O4 - .DEFAULT Startup: desktop(3).ini (User 'Default user')
O4 - Startup: desktop(2).ini
O4 - Startup: desktop(3).ini
O4 - Startup: is-5OA3P.lnk = ?
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)
O20 - Winlogon Notify: reset5 - C:\windows\SYSTEM32\reset5.dll

Выполните скрипт в AVZ:

begin
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('TlntSvr', 4);
SetServiceStart('RemoteRegistry', 4);
SetServiceStart('wuauserv', 4);
SetServiceStart('Reset 5', 4);
 BC_DeleteSvc('ids00196');
 BC_DeleteSvc('ids0018a');
 BC_DeleteSvc('ids00180');
 BC_DeleteSvc('ids0015d');
 BC_DeleteSvc('ids0014f');
 BC_DeleteSvc('ids00118');
 BC_DeleteSvc('ids0005c');
 BC_DeleteSvc('ids0004C');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Ставьте все критические обновления, вышедшие после SP3.

[hodok]

Все стало хорошо и сообщения перестали появляться, но ровно до того момента как начал искать критические обновления (причем сайт просит поставить галочку в автоматических обновлениях, иначе не показывает ничего) - опять стали выпригивать постоянно.

Как через IE, так и через центр справки и поддержки вот такое сообщение появляется при неоднократных попытках найти обновления:

"Ошибка на веб-узле. Невозможно отобразить страницу. Чтобы устранить эту проблему, попробуйте выполнить следующие действия.
Обновите страницу.
В обозревателе Internet Explorer удалите временные файлы Интернета, выбрав в меню Сервис пункт Свойства обозревателя.
Закройте и снова откройте обозреватель Internet Explorer."

Все делал,как писали, но результат этот же.

Может, вообще не ставить критические обнорвления и саму функцию отключить вообще?
Извиняюсь за назойливость, но можно уж добить беду эту?

[Bratez]

Что-то глючит у вас служба автообновлений, отключите ее обратно и не включайте больше.
Можно такой скриптик использовать:

begin
SetServiceStart('wuauserv', 4);
RebootWindows(true);
end.

А набор необходимых обновлений скачайте тут:
http://poleznosti.ru/soft/file_catal...20080528205228
Очень удобно и быстро.

[hodok]

По-моему (тьфу, тьфу, тьфу) все получилось.
Люди, bedankt!, gracias!, merci!, dankon!, спасибо!

[PavelA]

Пострайтесь в будущем не заражаться и не использовать скрипты, написанные для других.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения вредоносные программы в карантинах не обнаружены