Много проблем после обновления SP2 -> SP3

[RomantiQ]

Здравствуйте... я тут новенький,раньше никогда с такими проблемами не сталкивался,поэтому и не нуждался в помощи профи...
в кратце...у девушки ноут HP ,была когда-то виста,поставил кто-то когда-то XP ... вчера решил обновить систему...как понял уже зря...
началась полная дрянь
1) выскочило окно внизу "Возможно вы приобрели поддельную копию ПО"
2) не открывается Мой Комп.,папки,ПУ (ПУ не видит прогу,которой открыть,Мой Комп. перекидывает в Диспетчер устройств,а при открытии папок кидает в поиск) . Я что-то клацал в реестре,может что и повредил((( потому как раньше никогда таким не занимался....никогда
3) иногда после перезагрузки компа вместо картинки рабочего стола вылазит окно ошибки... что-то связано с Activex
помогите устранить проблему "1" ,чтоб оно не мозолило глаза и устранить неполадку с документами...
времени мало,чтоб скрины делать,но если надо будет - сделаю...
спасибо всем заранее...

З.Ы. если можете - объясняйте доступным "чайнику" языком... спасибо

[olejah]

Проблема "1" связана с тем, что Вы, скорее всего, попытались обновить нелицензионную копию Windows, в этом случае мы помочь не можем. А по большому счёту, нужны логи по правилам, тогда посмотрим, что есть плохого на компьютере.

[RomantiQ]

Проблема "1" связана с тем, что Вы, скорее всего, попытались обновить нелицензионную копию Windows, в этом случае мы помочь не можем.

Да,Вы правы...я не знал,т.к. ноут не мой...
а какие могут быть варианты?! рассмотрю любые((

[olejah]

Есть два варианта - купить лицензионную Windows, и второй... но его мы не можем здесь обсуждать. Так как это тематика немного других форумов.

[RomantiQ]

хорошо...опустим пока вопрос номер "Раз" ... это окно мне не сильно мешает...
а что Вы скажете по второму и третьему пункту???
копался в реестрах - ничего не выходит...

З.Ы. ни в одном из и-нет магазинов нет ОС Vista\XP в наличии...а девушки НР врядли потянет Семёрку...(((

[olejah]

По остальным пунктам могу сказать следующее - ничего гарантировать не могу, так как если Вы действительно что-то меняли в реестре, последствия могут быть весьма плачевны.

А в общем совет остаётся тем же, не мешало бы взглянуть на Ваши логи по правилам.

[RomantiQ]

по правилам пройдусь сейчас...
скажу,что я запомнил...
я удалил какие-то папки в реестре (HKEY_что-то там\folder\shell) - вроде......

ё-маё...даже не могу диагностику сделать...
сделать то сделаю,но логи не выложу,т.к. не открывается ни одна папка,чтоб даже найти те все логи... что делать?(

Добавлено через 1 час 11 минут

=(

[Bratez]

Пуск - Программы - Стандартные - Служебные - Восстановление системы.
Попробуйте, может и поможет. Если конечно оно не было отключено.

[RomantiQ]

делал...но,правда,ничего не изменилось...

[olejah]

Случайно не экспортировали изменяемые фрагменты реестра?

[RomantiQ]

Случайно не экспортировали изменяемые фрагменты реестра?

а можно чуток раскрыть вопрос?

[olejah]

Это делается для того, чтобы потом можно было восстановить то, что Вы изменили. Если кликнуть правой кнопкой на ветке, то можно увидеть пункт Экспортировать. Экспортировка производится в файл с расширением .reg, который можно потом запустить, внеся значения, которые были до изменения.

[RomantiQ]

вот логи. помогите...

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\55.exe','');
 QuarantineFile('C:\WINDOWS\system32\77.exe','');
 QuarantineFile('C:\WINDOWS\system32\67.exe','');
 QuarantineFile('C:\WINDOWS\system32\14.exe','');
 QuarantineFile('C:\WINDOWS\system32\53.exe','');
 QuarantineFile('C:\WINDOWS\system32\btneighborhood.dll','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6473207825-9239215883-574144180-7913\syscr.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-6473207825-9239215883-574144180-7913\syscr.exe,explorer.exe,C:\Documents and Settings\Маня\Application Data\ltzqai.exe','');
 QuarantineFile('C:\Documents and Settings\Маня\Application Data\ltzqai.exe','');
 DeleteFile('C:\Documents and Settings\Маня\Application Data\ltzqai.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6473207825-9239215883-574144180-7913\syscr.exe,explorer.exe,C:\Documents and Settings\Маня\Application Data\ltzqai.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-6473207825-9239215883-574144180-7913\syscr.exe');
 DeleteFile('C:\WINDOWS\system32\53.exe');
 DeleteFile('C:\WINDOWS\system32\14.exe');
 DeleteFile('C:\WINDOWS\system32\67.exe');
 DeleteFile('C:\WINDOWS\system32\77.exe');
 DeleteFile('C:\WINDOWS\system32\55.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 QuarantineFileF('c:\windows\system32','*.exe,*.bat', false,'', 0, 0, '15.07.2010','16.07.2010');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM

[RomantiQ]

- Сделайте повторный лог virusinfo_syscheck.zip;

будьте добры,напомните ,где ставить галочку в АВЗ ?
сбор информации? или лечение?

[polword]

Скрипт сбора информации для раздела "Помогите!" virusinfo.info" - правила

[RomantiQ]

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Версия базы данных: 5177

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

23.11.2010 23:28:15
mbam-log-2010-11-23 (23-28-15).txt

Тип сканирования: Полное сканирование (C:\|D:\|)
Просканированные объекты: 242193
Времени прошло: 42 минут, 25 секунд

Зараженные процессы в памяти: 0
Зараженные модули в памяти: 0
Зараженные ключи в реестре: 0
Зараженные параметры в реестре: 0
Объекты реестра заражены: 1
Зараженные папки: 0
Зараженные файлы: 32

Зараженные процессы в памяти:
(Вредоносных программ не обнаружено)

Зараженные модули в памяти:
(Вредоносных программ не обнаружено)

Зараженные ключи в реестре:
(Вредоносных программ не обнаружено)

Зараженные параметры в реестре:
(Вредоносных программ не обнаружено)

Объекты реестра заражены:
HKEY_CLASSES_ROOT\Drive\shell\(default) (Hijack.Drives) -> Bad: (open) Good: (none) -> Quarantined and deleted successfully.

Зараженные папки:
(Вредоносных программ не обнаружено)

Зараженные файлы:
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0WJQF3DL\7[1].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0WJQF3DL\7[2].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0WJQF3DL\7[3].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0WJQF3DL\aoodvmiz[1].png (Extension.Mismatch) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0WJQF3DL\ezzma[1].bmp (Extension.Mismatch) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\0WJQF3DL\mijs[1].jpg (Extension.Mismatch) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\5C4YB1Q1\7[1].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\5C4YB1Q1\7[2].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\ED9S8TE9\7[1].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\ED9S8TE9\7[2].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\ED9S8TE9\zdlp[1].bmp (Worm.Conficker) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\XR0F1XYM\7[1].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\XR0F1XYM\7[2].exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\XR0F1XYM\ffvwu[1].gif (Worm.Conficker) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\01.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\14.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\44.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\51.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\52.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\53.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\55.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\56.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\65.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\67.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\73.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\77.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\81.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\84.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\88.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\Маня\DoctorWeb\Quarantine\syscr.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Program Files\Total Commander\Plugins\arc\Default.sfx (Malware.Packer.Gen) -> Quarantined and deleted successfully.
D:\Daniel\la2\Interlude.vn.ua\патч mordred\system\fire.dll (Malware.Packer.T) -> Quarantined and deleted successfully.

карантин выслан!
файл прикреплён!

[polword]

1.Профиксите в HijackThis

R3 - URLSearchHook: (no name) -  - (no file)
O3 - Toolbar: QT Breadcrumbs Address Bar - {af83e43c-dd2b-4787-826b-31b17dee52ed} - mscoree.dll (file missing)

2. Выполните скрипт в AVZ

begin
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFileMask('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
 RebootWindows(true);
end.

После перезагрузки:
- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

что с проблемой?

[RomantiQ]

странно ... всё выполнил,как было выше сказано... изменений никаких ровным счётом по отношению к открытию папок,ПУ и т.д.
выполнил скрипт из файла ScanVuln.txt , в логе было 3 уязвимости,установил обновления рекомендуемые...и тут дилема...после перезагрузки в АВЗ написало,что уязвимостей нет,но в логе (в папке АВЗ) было всё то же,что и до перезагрузки,то есть 3 уязвимости(
а еще появилась ошибка... точно не увидел,потом покажу,после перезагрузки...там говорится о "Память не может быть read" вроде

Добавлено через 1 минуту

тут вопрос возник...
а почему хелперы не могут помогать через TW (TeamWivier) ?
это конечно наглость ,но всё же более разумно,как по мне...увидеть проблему собственными глазами

[polword]

- сделайте лог Combofix