Блокируется DrWeb

[msnaumov]

Перестал запускаться сканер DrWeb с сообщением "обнаружена ошибка Приложение будет закрыто". В безопасном режиме DrWeb запустился и ничего не нашел. Касперский AVPTool нашел несколько троянов, но поведение DrWeb не изменилось.

Вот, просканировал по правилам, просьба помочь полечить комп.

С уважением,

Михаил

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\twex.exe','');
 QuarantineFile('C:\WINDOWS\system32\msvcrt57.dll','');
 DeleteFile('C:\WINDOWS\system32\msvcrt57.dll');
 DeleteFile('C:\WINDOWS\system32\twex.exe');
 DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
DelCLSID('{E6FB5E20-DE35-11CF-9C87-00AA005127ED}');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=54106).

Прочитайте и выполните это:
http://virusinfo.info/showthread.php?t=43700.

Сделайте новые логи.
Вместо virusinfo_cure.zip нужно прикреплять virusinfo_syscure.zip!

[msnaumov]

Доброго времени суток

Сделал, как велели, стало гораздо легче. DrWeb уже запускается. Ура!

Высылаю логи, посмотрите, нет ли чего еще плохого.

С уважением,

Михаил.

[Белый Сокол]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\VNIS20PK\pin[1].exe','');
 QuarantineFile('C:\WINDOWS\Temp\rdl32.tmp.exe','');
 QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Desktopicon\eBayShortcuts.exe','');
 DeleteFile('C:\Documents and Settings\Администратор\Application Data\Desktopicon\eBayShortcuts.exe');
 DeleteFile('C:\WINDOWS\Temp\rdl32.tmp.exe');
 DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\VNIS20PK\pin[1].exe');
 DeleteFileMask('%Tmp%', '*.*', true);
 BC_ImportAll;
 ExecuteSysclean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенные файлы" над первым сообщением темы).

Пофиксите:

R3 - URLSearchHook: (no name) -  - (no file)

Прочтите и выполните эти рекомендации - http://virusinfo.info/showthread.php?t=43700

Повторите логи.

[msnaumov]

Ага, значит еще кое-что осталось. Полечил, карантин выслал.

Спасибо!

[thyrex]

Сделайте новые логи

[msnaumov]

Всем привет!
Вот наконец добрался до компа, высылаю логи. Посмотрите, пожалуйста.

С уважением,

Михаил

[Bratez]

1. Пофиксите в HijackThis:

O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O20 - Winlogon Notify: acpiz - acpiz.dll (file missing)

2. Отсутствующий у вас файл C:\WINDOWS\system32\qmgr.dll восстановите из дистрибутива или скопируйте из другой системы той же версии.

3. Выполните скрипт в AVZ:

begin
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Eventlog\Application\Bonjour Service');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Eventlog\Application\Autochk', 'EventMessageFile');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Eventlog\Application\Autochk', 'EventMessageFile','C:\WINDOWS\System32\winlogon.exe');
RebootWindows(true);
end.

Компьютер перезагрузится.

4. Повторите п.2 Диагностики.

Что с проблемами?

[msnaumov]

Доброго времени суток!

Все сделал.

Проблема, которая послужила поводом просить помощи, т.е. блокировка сканера DrWeb, более не беспокоит, за что огромное спасибо.

А вообще есть что-то нехорошее. После того, как добавил 2-й винт на 500ГБ регулярно стал запускаться checkdisk и находить сбои в файлах на диске С:, а с недавнего времени при загрузке всегда вылезает окно "Потребовалось восстановление одного из файлов данных системного реестра с помощью журнала или дополнительной копии. Восстановление прошло успешно". Есть какая-то бяка в файловой системе.

Лог высылаю, посмотрите.

С уважением,

Михаил.

[Bratez]

В логе ничего плохого.

Описанная проблема не связана с вредоносными программами. Похоже, ваш диск С напрашивается на полное форматирование... А не бывает так, что делаете выключение, а компьютер вместо этого на перезагрузку уходит?

[msnaumov]

Нет, такого еще не встречалось. Что до форматирование C, то даже думать об этом не хочется, переустановка софта внушает ужас. Подожду, пока уж по настоящему не заглючит.

Хотя наверное есть малозатратные способы переформатирования, типа сделать образ диска как-нибудь. Но если система кривая, есть ли смысл ее копировать?

Возвращаясь к вирусам, целый год ничего плохого не было, я уже вообразил, что провайдер научился блокировать вирусню... И вот пожалуйста, осеннее обострение. Так что хочу еще раз поблагодарить за помощь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\config\systemprofile\local settings\temporary internet files\content.ie5\vnis20pk\pin[1].exe - Packed.Win32.Krap.x ( DrWEB: Trojan.PWS.LDPinch.4308, AVAST4: Win32:Preald-AL [Drp] )
  2. c:\windows\system32\sbunit.sys - Trojan-Spy.Win32.Goldun.azg ( DrWEB: Trojan.NtRootKit.1518, BitDefender: Trojan.Spy.Goldun.NDM, AVAST4: Win32:Haxdoor-JV [Trj] )
  3. c:\windows\temp\rdl32.tmp.exe - Packed.Win32.Krap.x ( DrWEB: Trojan.PWS.LDPinch.4308, AVAST4: Win32:Preald-AL [Drp] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !