Загрузка только при отключенной проверки подписи

[Вадя]

Vista home
после разблокировки банера требующего пополнения счета и последующей проверки нодом и авастом загрузить систему стало возможно только при F8 - "отключение обязательной проверки подписи драйверов", остальные варианты вызывают перезагрузку компьютера после появления указателя мыши .
при простое системы наблюдается большая активность дисковых операций.
avast6 при сканировании в режиме сканирования при загрузке вирусов не находит, но если подключить диск к другому компьютеру аваст находит вирус в pagefile.sys

[thyrex]

Пофиксите в HiJack

R3 - URLSearchHook: (no name) -  - (no file)
F2 - REG:system.ini: Shell=C:\windows\explorer.exe
F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,"C:\Program Files\Def Group\PC Defender\pcdef.exe"
O2 - BHO: (no name) - {88888888-8888-8888-8888-888888888888} - (no file)
O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Def Group\PC Defender\pcdef.exe');
QuarantineFile('C:\Program Files\Def Group\PC Defender\pcdef.exe','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Вадя]

MBAM будет позже

[thyrex]

Здесь плохого не видно. Ждем лог МВАМ

[Вадя]

лог МВАМ

[thyrex]

Удалите в МВАМ

Заражённые ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{9D64F819-9380-8473-DAB2-702FCB3D7A3E} (Trojan.Ransom) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{9D64F819-9380-8473-DAB2-702FCB3D7A3E} (Trojan.Ransom) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{93781A22-304B-45BA-9631-4BBE717DB074} (Rogue.PCDefender) -> No action taken.

Заражённые папки:
c:\program files\def group\pc defender (Rogue.PCDefender) -> No action taken.
c:\programdata\microsoft\Windows\start menu\Programs\pc defender (Rogue.PCDefender) -> No action taken.
c:\Windows\installer\{93781a22-304b-45ba-9631-4bbe717db074} (Rogue.PCDefender) -> No action taken.

Заражённые файлы:
c:\program files\def group\pc defender\Undo.ico (Rogue.PCDefender) -> No action taken.
c:\program files\def group\pc defender\uninstall.bat (Rogue.PCDefender) -> No action taken.
c:\programdata\microsoft\Windows\start menu\Programs\pc defender\pc defender.lnk (Rogue.PCDefender) -> No action taken.
c:\programdata\microsoft\Windows\start menu\Programs\pc defender\uninstall.lnk (Rogue.PCDefender) -> No action taken.
c:\Windows\installer\{93781a22-304b-45ba-9631-4bbe717db074}\_68a98ae28d82c6964b29f7.exe (Rogue.PCDefender) -> No action taken.
c:\Windows\installer\{93781a22-304b-45ba-9631-4bbe717db074}\_ebc3dcee202751bd84dde6.exe (Rogue.PCDefender) -> No action taken.

[Вадя]

сделано, активность диска уменьшилась, но всё равно при простое есть.
загрузка осталась по прежнему - только при отключенной проверке подписи драйверов

[thyrex]

Сделайте лог ComboFix

[Вадя]

сделано.
загрузка по прежнему, пропала языковая панель, не удаётся её восстановить, нет возможность перключить язык ввода (восстановлено - добавлено в загрузку CTFMON.EXE)

[thyrex]

Придраться не к чему

[Вадя]

программа RunScanner показала, что большинство файлов от ms не имеют подписи. Возможно ли сравнить со здоровой системой?


Autoruns во вкладке Sheduled Tasks показал файл QKVQGNSJJDWDOUBSBUW.bat такого содержания shutdown /r /f /t 0
его удаление не помогло

[thyrex]

Удалите этот файл и его задание в Планировщике

[Вадя]

удалил, не помогло....

[Вадя]

сделал полный образ диска.
сделал восстановление системы с заводскими настройками (не переустановку) . создал юзера нового. создал юзера с прежним именем.
в его папку скопировалвсё содержимое из папки юзера из образа.
загрузка прроисходит до выбора пользователя.
если выбрать старого юзера - появляется "Добро пожаловать", потом "Завершение сеанса".
в безопасном режиме загружается под старым юзером нормально.
копирую ntuser.dat в папка с новым юзером - тож самое - "Добро пожаловать", потом "Завершение сеанса".
это, не есть правильный подход. но раз в безопасном режиме загрузилось, наверно, должно и в нормальном? что есть в реестре , что может вызывать "Завершение работы"?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения вредоносные программы в карантинах не обнаружены