Ноут выдает сообщение NT AUTHORITY \ SYSTEM

[collman]

У друга ноут стал странно себя вести в инете особенно на сайте Вконтакте глючил. И медленно стал работать, причем антивиры ничего не находили.Я переустановил на ноуте друга винду с форматированием диска С. Все проги поставил и в последний момент вдруг выскочило окно с ошибкой NT AUTHORITY\SISTEM что система будет выключена через 60 секунд. Я перезагрузился и комп при входе в виндовз просто вешается. Причем на ярлыках водовских документах появилась красная черта, как только нажимаю на них так выскакивает почему то прога Acer edat и предлагает создать защищенной место на диске.Отключил в безопасном режиме восстановление системы и проверил диски на вирусы NOD32 с новыми базами и ничего. Затем на своем компе в инете нашел в поиске про это окно и там писалось что это вирус msblaster.exe/ Скачал утилиту от Symanteс но тоже бес толку. в System32 msblaster.exe не нашел. Заплатки от Майкрософта не устанавливаются так как у меня более новые стоят обновления. Чтобы выслать Вам эти логи, я убил 2 часа, потому что он постоянно вырубается. Причем в защитном режиме как только начинаю вырубать процессы Svchost.exe тут же выскакивает окно с перезагрузкой через 60 секунд.
Помогите пожалуйста, сейчас даже в безопасном режиме ноут стал вырубаться причем даже окно не выскакивает. Просто выключается, не перезагружается как раньше а выключается.
AVZ - virusinfo_syscheck.zip этот файл не получается сделать потому что комп вырубается быстрее, простите пожалуйста!

[thyrex]

Пуск - Выполнить - shutdown -a
Это должно остановить перезагрузку и даст возможность выполнить правила

[collman]

Спасибо! Сейчас попробую заново пройти тест

Добавлено через 22 минуты

не помог шатдоун, все равно вырубился. Он теперь не перезагружается если Svchost не пытаться выкинуть из процесса. Туперь он просто вырубает комп без каких либо сообщений.

[gjf]

"Выкидывая" некоторые svchost Вы приводите к перезагрузке. Не нужно ничего выкидывать - попробуйте просто загрузиться и провести сканирование системы.
Выполните скрипт AVZ:

begin
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteRepair(10);
 SetAVZPMStatus(true);
 RebootWindows(true);
end.

Система перезагрузится, и сразу после перезагрузки попробуйте выполнить сканирование. Не получится - попробуйте снова выполнить скрипт и сразу после перезагрузки войти в защищённый режим и попробовать сделать сканирование.

[collman]

Спасибо за этот скриптик, удалось пройти полный тест и карантины были только что мною отосланы Вам.
Жду дальнейших указаний по борьбе с этой нечестью

[Гриша]

Логи где?

[collman]

2 карантина-архива после проверки AVZ я загрузил с помощью прислать запрошенный карантин а лог файл от Неджека я вчера его с помощью тоже карантина высылал.
Я что-то сделал не так?

[Гриша]

Карантин-это карантин, нам нужны логи http://virusinfo.info/showthread.php?t=1235

Их нужно прикрепить в теме...

[collman]

Вот что было в папке Log и папке Хеджека

[thyrex]

Логи переделать в нормальном, а не безопасном режиме

[gjf]

Ещё - обновите базы AVZ!
Я же говорил: попробуйте вначале в нормальном режиме и только если не получится - в защищённом.

[collman]

Хорошо, базы обновлю сейчас и еще раз сделаю логи, в обычном режиме не получается, при загрузке рабочего стола система вешается и приходится нажимать Power, т.к кнопки не действуют.

Добавлено через 35 секунд

поэтому и делаю в защищенном режиме логи

[gjf]

Тогда сделайте так.
1. Скопируйте текст ниже в Блокнот:

Windows Registry Editor Version 5.00
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
"AutoRun"=dword:00000000
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff
"NoDriveAutoRun"=dword:000000ff 

 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"="" 

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\ShellHWDetection\]
"Start"=dword:00000004

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000FF
"NoDriveAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutoplay\Files]
"*.*"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

Сохраните текст как 1.reg, а затем дважды кликните на нём. Внесение информации в реестр - разрешите.

2. Выполните скрипт и действия, которые я описал в посте №4. После перезагрузки - загружайтесь в обычном режиме и сразу попытайтесь собрать логи.

[collman]

Простите еще один вопросик. Я скачал Avzbase так как у меня выдает ошибку при обновлении AVZ. А дальше мне с этой базой что делать? Ее нужно заместить на место старой в папке Avz или что-то другое?

Добавлено через 13 минут

Перезагрузился но система все равно вешается, войти в виндовз получается только в защитном режиме

[gjf]

Для обновления не нужно было ничего заменять или скачивать. В AVZ есть такая команда. Нужно было просто внимательно поискать.
Раз не находите - просто выполните такой скрипт:

begin
 ExecuteStdScr(5);
end.

У Вас видно, что имеется какой-то вирус. Но без полных логов невозможно определить, как его лечить. Скачайте одну из утилит по следующим ссылкам:
ftp://ftp.drweb.com/pub/drweb/cureit/setup.exe
http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/
ftp://vba.ok.by/vba/Vba32Check.exe

Сохраните её и запустите в защищённом режиме. Просканируйте все диски и разделы компьютера, удаляя или леча найденную заразу. После этого попробуйте загрузиться снова в нормальном режиме и собрать логи AVZ.

P.S. Кстати - видимо, Вы впервые у нас - так вот, уже все пользуются - AVZ 4.32,, а не 4.30.

[collman]

Я до обращения к Вам на сайт сканил комп на вирусы с курелитом, он ничего подозрительного не нашел, затем нодом все бестолку. У этих обоих прог последние обновления стоят. Сейчас скачию AVP но инет медленный и проверка займет у меня часа 1,5. ТАк что вот так.

[gjf]

У Вас на дисках есть файл autorun.inf:
7. Эвристичеcкая проверка системы

>>> D:\autorun.inf ЭПС: подозрение на скрытый автозапуск (высокая степень вероятности)

Это очень характерно для вирусов, которые передаются флешками. Потому я и посоветовал сделать сканирование, а также выполнить изменения в реестре, чтобы прикрыть эту уязвимость.
Качайте утилиту и выполняйте сканирование.

[collman]

Дело в том что я общаюсь с Вами с другого компа, а больной комп к инету не подключен. ТАк вот на этом здоровом я пытался обновить старый AVZ и не получилось. Сейчас по Вашей ссылке скачал новый и обновление прошло успешно. Теперь на больном компе сделаю новые логи правда только в защитном режиме.

[gjf]

В Вашем случае логи в защищённом режиме ничего не дадут. Я уже сказал: сделайте повторное сканирование антивирусными утилитами.

[collman]

Сейчас проверяю систему скачанной утилитой Каспера, затем сделаю заново логи как Вы сказали в обычном режиме

Добавлено через 2 часа 50 минут

Проверил утилитой Касперского в защитном режиме полностью систему и все в порядке. Ни одного вируса и ничего опдозрительного обнаружить не удалось. Моя флешка тоже чистой оказалось при проверке им. Загружаюсь в обычном режиме, как только загрузился рабочий стол, винда виснит и приходится нажимать Power. Что делать?

Добавлено через 13 минут

Дальше то мне что делать?