пропал рабочий стол

[steel-prom]

ПК загружается.. и просит активировать винду... но не активации не запуска не происходит, только картинка, нет ни пуск, не ярлычков, на Ct+Al+Del не реагирует. В безопасный режим загрузился, логи

[steel-prom]

есть карантин

Файл сохранён как 100802_091136_virus_4c565388ecbc2.zip
Размер файла 2868573
MD5 f3232d4e5d4c40032eaf2c01365f32b7

выполнил скрипт

begin
//
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
 QuarantineFile('C:\WINDOWS\system32\twex.exe','');
 DeleteFile('C:\WINDOWS\system32\twex.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
 DeleteFile('C:\WINDOWS\Installer\2b4a98.msi');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

и пофиксил:

O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\twex.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{2B967A21-4AFA-4273-AB11-D1478F45B326}: NameServer = 192.168.0.223
O20 - Winlogon Notify: crypt - crypts.dll (file missing)

[steel-prom]

логи rsit

[steel-prom]

не смотря на то что винда была лицензионная, пропачив ее в безопасном режиме (активация) заработала нормально, рабочий стол восстановился, логи:

[steel-prom]

лог комбо, все таки winlogon быт пропачен, толко вот кем?

[steel-prom]

кто может сказать, что эта за строчка странная?

S2 yvuabbumdf;yvuabbumdf;\??\c:\windows\system32\drivers\mrhneejze.sys --> c:\windows\system32\drivers\mrhneejze.sys [?]

[PavelA]

Что сказать, закарантинь этот файл?

[steel-prom]

скрипт выполню:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);

QuarantineFile('c:\windows\system32\drivers\mrhneejze.sys','');
QuarantineFile('c:\windows\system32\emptyregdb.dat','');
DelCLSID('14A21378-5BB1-4BC4-95D5-5D3F51527F6F');
DeleteFile('c:\windows\system32\emptyregdb.dat');

BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Добавлено через 6 минут

и что там?

Файл сохранён как 100803_110407_virus_4c57bf67c7087.zip
Размер файла 10112
MD5 a8027626a160ef47dee5d03f3fcdfc77

[PavelA]

sys не попался. Скрипты аккуратнее пишите.

Добавлено через 33 секунды

QuarantineFile('c:\windows\system32\emptyregdb.dat ','');

- чистый.

[steel-prom]

Files Infected:
C:\Documents and Settings\Тюмень-1\DoctorWeb\Quarantine\A0012275.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Documents and Settings\Тюмень-1\DoctorWeb\Quarantine\MyCentriaUninstall.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\Documents and Settings\Тюмень-1\Local Settings\temp\Uninstall.exe (Malware.Packer.Gen) -> Quarantined and deleted successfully.

нашел MBAM

[steel-prom]

думаю тему можно закрыть, больше вроде не беспокоит ничего..

Установите на Windows Service Pack 3
(может потребоваться активация) и все последующие обновления отсюда.
Установите Internet Explorer 8.0

потом
- откройте файл ScanVuln.txt Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 10
• В ходе лечения вредоносные программы в карантинах не обнаружены