И опять 0xc0000005...

[an2000]

Давно не обращался, обходился сам, но в этот раз...

После обнаружения Каспером появлений файла SetupAPI.dll в папках браузеров (IE, Opera, FF) при перезагрузке системы появилась ошибка 0xc0000005 при запуске приложений...

Наблюдение:
Приложения МОЖНО запустить в течение короткого времени (1-2мин) при загрузке системы, далее - всё... 0xc0000005...

Что предпринималось:
Удаление подозрительных файлов из папки TEMP (раньше этого хватало)
Замена файлов sfcfiles.dll, sfc.dll, setupapi.dll на заведомо "чистые"
Отключение Каспера
Вставка в boot.ini "/noexecute=AlwaysOff"

В этот раз ничего не помогает...
Прошу помощи.

[polword]

комплект логов сделайте

[an2000]

комплект логов сделайте

Не могу.
Hijack (даже с его переименованием) - 0xc0000005
AVZ 4.34 - 0xc0000005...

Конечно, сделаю, если подскажете, КАК.

[an2000]

комплект логов сделайте

Вот, подсказали тут изменить НЕ ИМЯ, а РАСШИРЕНИЕ с .exe на .com!
Вот один лог, еще два - чуть позднее.

[an2000]

комплект логов сделайте

Вот еще один:

[an2000]

комплект логов сделайте

Вот и второй:

(Извините, отвечал через "цитату", т.к. в простом "Ответить" нет возможности приаттачить файл)

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS.0\system32\Drivers\AC2003.sys','');
 QuarantineFile('C:\WINDOWS.0\system32\drivers\TDI.SYS','');
 QuarantineFile('C:\WINDOWS.0\System32\Drivers\sfc.SYS','');
 QuarantineFile('C:\WINDOWS.0\System32\sfcfiles.dll','');
 QuarantineFile('C:\WINDOWS.0\system32\mssfc.dll','');
 DeleteFile('C:\WINDOWS.0\system32\drivers\sfc.sys');
 DeleteFile('C:\WINDOWS.0\system32\mssfc.dll');
 RenameFile('C:\WINDOWS.0\System32\sfcfiles.dll', 'C:\WINDOWS.0\System32\sfcfiles.bak');
 CopyFile('C:\WINDOWS.0\System32\dllcache\sfcfiles.dll','C:\WINDOWS.0\System32\sfcfiles.dll');
 DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 ExecuteRepair(1);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 BC_DeleteSvc('sfc');
 BC_DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

[an2000]

Спасибо, к утру, думаю, сделаю (проверка AVZ идет достаточно долго).

PS AC2003 - это звуковой драйвер (сам ставил).

PPS "WINDOWS" - это опечатка? Может быть, все-таки "WINDOWS.0"?
А в пятой строке? "\0\" - лишнее?

[polword]

поправил скрипт

[an2000]

поправил скрипт

Я тоже (убрал "\0\" в пятой строке - ну НЕТ у меня там еще одного каталога "0"!)

Включил на исполнение. Скрипт завис (внизу окна было что-то насчет "поиска IIS".
Хотел уточнить - но AVZ.com (переименованная!) не включается, TotalCommander дает: Error executing program
Это всё...

PS Ошибка 5 исчезла, но теперь при запуске приложений вижу:
Отказано в доступе к данному устройству, пути или файлу. Возможно, у вас нет нужных прав доступа к этому об\екту.

Перегружать систему страшно...
Могу и переписку с Вами потерять...

Что делать? Присылать файлы, попавшие в карантин?

Добавлено через 1 час 3 минуты

Рискнул перегрузиться... успел войти в браузер!
Теперь все по-прежнему - ошибка 5.
Управляйте мной, плз

[olejah]

Давайте сделаем новые логи + лог MBAM

[an2000]

Давайте сделаем новые логи + лог MBAM

Начали...
Первый (1234.com - это HiJack)

[an2000]

Давайте сделаем новые логи + лог MBAM

Второй...
(Будете общаться с Олегом З. - передайте, плз, что окошко "осталось" в его AVZ - это просто издевательство! 1ч 45мин показывало мне от 38 до 18 минут! )

[an2000]

Давайте сделаем новые логи + лог MBAM

Третий...

Та-а-а-ак... MBAM.
Скачал. Установщик запустился, несмотря на то, что он .exe.
Запускаю mdam.exe - ошибка 5.
Переименовываю в .com - вижу при запуске "Run-time error '0' от vbAccelerator и после нажатия "ОК" - "Run-time error '440' от самой MDAM.
Всё...

[olejah]

Да не цитируйте Вы меня каждый раз - соберите все логи в одном сообщении.

[polword]

карантин пришлите

[an2000]

карантин пришлите

Выслал через форму. Единственное - не поставил пароль (понял после отсылки)...

Добавлено через 2 минуты

2Olejah:
Я выше объяснял, что при создании сообщения через "Ответить" в форме НЕТ возможности приаттачить файлы.
Но я Вас понял.

[polword]

- Выполните еще раз скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
  QuarantineFile('c:\disk g\install\11-Обязательное\vipipclnt 607.com','');
 QuarantineFile('C:\WINDOWS.0\System32\Drivers\sfc.SYS','');
 QuarantineFile('C:\WINDOWS.0\System32\sfcfiles.dll','');
 QuarantineFile('C:\WINDOWS.0\system32\mssfc.dll','');
 DeleteFile('C:\WINDOWS.0\system32\drivers\sfc.sys');
 DeleteFile('C:\WINDOWS.0\system32\mssfc.dll');
 RenameFile('C:\WINDOWS.0\System32\sfcfiles.dll', 'C:\WINDOWS.0\System32\sfcfiles.bak');
 CopyFile('C:\WINDOWS.0\System32\dllcache\sfcfiles.dll','C:\WINDOWS.0\System32\sfcfiles.dll');
 DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteSvc('sfc');
 BC_DeleteFile('C:\WINDOWS.0\System32\sfcfiles.bak');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;

[an2000]

2polword:
AVZ: ')' expected в позиции 4:34

[polword]

выполняйте