Блокирование файла Setup.exe

[Jan333]

Здравствуйте!

Я не на 100% уверен, что причина моей проблемы именно – вирус, но похоже, что вы - последняя инстанция куда я могу обратиться.
Некоторое время назад мне дали несколько образов DVD (там были Энциклопедия, игра Starcraft 3, и еще несколько дисков). Я начал устанавливать эти программы себе на жесткий диск. Когда дошла очередь до Starcraft 3 – инсталляция дошла где-то половины, затем вдруг резко началось удаление, и все что было инсталлировано, соответственно удалилось. В тот момент я подумал, что этот какой-то глюк самого файла-образа с игрой (хотя на других комп-ах все шло без проблем!). В общем забыл об этом… А недавно, у меня брат приобрел лицензионный DVD – Готика 4 Аркания…
Здесь начались чудеса!! Мы пробовали этот диск минимум на 7 компьютерах! Он запускается абсолютно везде (и на любых ОС). На нашем же, после запуска файла Setup.exe на диске некоторое время происходит какое-то шуршание, а потом все затихает.
В тех. поддержке сказали – что причина 100% - КИС 2010 который блокирует запуск. В карантине КИСа файлов автозапуска и установки нет! Добавлял установочные файлы в доверенную зону КИСа, а сам КИС отключал. Без изменений. Копировал содержимое диска на HDD, и в виде образа, и просто файлами. Ничего. Что еще можно сделать? Что-то блокирует запуск файла “setup” на моем компьютере.
Добавлю, что некоторое время назад я сканировал свой комп программкой AVZ. Может я установил какие-то ограничения на запуск с CD/DVD?
Очень надеюсь на ваш профессионализм, так как уже дважды к вам обращался, и всегда проблемы решались очень быстро. Если в моем случае также необходимо прислать вам скрипты через AVZ, по вашему запросу я это сразу сделаю (Просто пока не стал – вдруг, лишний раз AVZ запускать не нужно (как-то боязно теперь ), т. к. причина в другом).

[light59]

Выполняйте правила.

[Jan333]

Ок. Прикладываю к своему сообщению необходимые файлы.

[polword]

1.Профиксите в HijackThis

R3 - URLSearchHook: (no name) - {95289393-33EA-4F8D-B952-483415B9C955} - (no file)
R3 - URLSearchHook: (no name) -  - (no file)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

2.Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DelCLSID('{23MAD6M8-1MAD-77AD-JIM1-73OP5G3369085}');
 QuarantineFile('C:\Zolander\Polanda\box.exe','');
 QuarantineFile('C:\Windows\svchast.exe','');
 DeleteFile('C:\Zolander\Polanda\box.exe');
 DeleteFileMask('C:\Zolander', '*.*', true);
 DeleteDirectory('C:\Zolander');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Jan333]

Ок. Атрибуты файла quarantine ниже:

Файл сохранён как 110127_152913_quarantine_4d416519e9f56.zip
Размер файла 1136
MD5 1f0db412c59301429ea34c6298062bdf

Логи прикрепил.

[Jan333]

polword, Все как вы сказали выложил. Можно узнать, выявлена какая либо аномалия в высланных мною файлах?

[polword]

Пришлите файл C:\Windows\svchast.exe запакованным в архив ZIP с паролем: virus по ссылке Прислать запрошенный карантин вверху темы

[Jan333]

polword, Но у меня этого файла нет! Пробовал и через поиск на диске С. Пусто.

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\Windows\svchast.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSN');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;

[Jan333]

Прикрепляю новый syscheck...

[polword]

подозрительного нет.

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[Jan333]

Вот что нашел этот скрипт в AVZ:

Поиск критических уязвимостей
[микропрограмма лечения]> изменен параметр Compatibility Flags ключа HKLM\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E533-0000-0000-C000-000000000046}
Уязвимости в Adobe Flash Player для Firefox/Safari/Opera
http://fpdownload.macromedia.com/get..._player_10.exe

Установите Adobe Reader 9.4 или удалите старый.
http://get.adobe.com/reader/otherversions

Firefox 2.0.0.14 (ru) устарел. Удалите его или установите новый
http://www.mozilla.com/

Обнаружено уязвимостей: 3

Добавлено через 44 минуты

polword, Спасибо за помощь. Все уязвимости исправил, но с запуском файла Setup, все по-прежнему.

Добавлено через 10 часов 50 минут

А можно как-то отследить те процессы, которые начинают происходить в момент запуска файла Setup.exe?... и соответственно, на каком из них происходит сбой..
Порекомендуете что нибудь?

[Jan333]

Проблема решилась переустановкой Windows.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены