не запускаются программы спустя минуту после загрузки

[golmarco]

Только поставил 2 винды WINXP SP3 (1-ю на диск С и там в качестве антивиря NOD32, 2-ю на диск D с KAV7)
только настроил систему во всех, вижу во второй винде не запускаются ни firefox, ни IE, ни диспетчер задач, ни avz... причем если перезагрузить комп и сразу что-нибудь из вышеперечисленного списка запустить - они откроются, но если спустя минуту снова попробовать - нажимаю значок программы, появляются часики на указателе мыши и исчезают....всё....никакх ни окон ни сообщений, но ряд других программ все таки запускаются (тотал коммандер, панель управления....)
было предположение что скорее всего заразил случайно с флешки - поэтому запустил из первой винды (где всё(!) кстати запускается нормально) CureIT, он в содружестве с монитором NOD32 прошелся по всему компу - вылечили 3-5 вирусов (к великому сожалению название не запомнил вирусов), загрузил снова вторую винду - эффект нулевой...
В реестре заметил explorer.exe в ветке Image File.... - грохнул, перезагрузился не помогло...
в avz увидел красным помеченный user32.dll - заменил его на такой же из первой винды - не помогло....
KAV7 - в упор ничего не видит......
высылаю логи
заранее спасибо за советы и внимание

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\System32\sfcfiles.dll','');
 QuarantineFile('mcenspc.dll','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\sfc.SYS','');
RenameFile('D:\WINDOWS\System32\sfcfiles.dll', 'D:\WINDOWS\System32\sfcfiles.bak');
 CopyFile('D:\WINDOWS\System32\dllcache\sfcfiles.dll', 'D:\WINDOWS\System32\sfcfiles.dll');

BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через http://virusinfo.info/upload_virus.php?tid=45802

[golmarco]

получилось
спасибо огромное! открываются и диспетчер задач и firefox - всё довольно шустренько..... что ж зверь такой был - если не секрет?

[PavelA]

Карантин пришлите, тогда расскажем. Там еще один интересный файлик должен попасться.

[golmarco]

уже минуты 3 как
не видно?

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('mcenspc.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать логи AVZ.

[golmarco]

что то у меня какие то смешанные чувства вызвал этот последний скрипт ибо после перезагрузки после его выполнения спустя сек 20 после ввода пароля входа в винду - комп резко перезагрузился....

[PavelA]

Вот ответ по карантину:
popuphook.dll - Trojan.Win32.Inject.aaek,
sfcfiles.dll - Trojan.Win32.Patched.fr

Все это свежак. Значит,надо будет еще кое-что удалить.
D:\Program Files\Popup\Popup.exe - вот эта программа очень нужна? В ее куске сидел троян.

Добавлено через 1 минуту

Выполнить:

begin
 ClearQuarantine;
 QuarantineFile('D:\Program Files\Popup\Popup.exe','');
 QuarantineFile('D:\Program Files\Popup\popup.dll','');
 TerminateProcessByName('d:\program files\popup\popup.exe');
 QuarantineFile('d:\program files\popup\popup.exe','');
end.

Прислать карантин.

[golmarco]

понял
спасибо

popup просто древняя программа для пересылке текстовых сообщений по локалке
если троян внедрился в нее я, ее переставлю ее (если карантин нужен могу прислать только в понедельник - комп на работе, это из дома на форум зашел)
а так она у меня давно на многих компах стоит и там все ок

вопрос - у меня есть еще один комп с такими же симптомами
могу я использовать эти же коды в avz? если нет - то есть какие-нибудь рекомендации по системе, чтобы удалить ЭТОТ троян кроме как через avz?
заранее спасибо

[AndreyKa]

popup просто древняя программа для пересылке текстовых сообщений по локалке
если троян внедрился в нее я, ее переставлю ее

Возможно, аналитик перестраховался и трояна там нет.

вопрос - у меня есть еще один комп с такими же симптомами

Другой компьютер - отдельная тема. Скрипты тоже свои должны быть.

чтобы удалить ЭТОТ троян кроме как через avz?

Чтобы именно этот, годится свежий AVPTool.

[golmarco]

Вы имели ввиду KAV Removal Tool
да помогло - жалко что только там путь нельзя выбирать для проверки
пришлось 50 мин ждать пока он один файл (sfcfiles.dll) истребит - в этом смысле действительно было бы проще пути в коде avz подредактировать и всё

спасибо

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\program files\popup\popuphook.dll - Trojan.Win32.Inject.aaek
  2. d:\windows\system32\sfcfiles.dll - Trojan.Win32.Patched.fr