149 ответов в этой теме

[nikita800]

По логу спайдера - кто дроппает?

Это как посмотреть?

В spidernt.log

 __________________.txt   6,37К   66 Скачано раз

[nikita800]

Ну дык чего? Вроде все вирусы удалили )))
Может теперь поможете включить планировщик заданий и обновить базы?

[Borka]

По логу спайдера - кто дроппает?

Это как посмотреть?

В spidernt.log

Это не лог...
Хайджек и Regedit запускаются?

[nikita800]

Хайджек и Regedit запускаются?

Неа, не запускаются.

[Borka]

Хайджек и Regedit запускаются?

Неа, не запускаются.

Тогда продолжаем разговор. Давайте свежие логи.

[katbert]

Если regedit и сторонние утилиты не запускаются - т.е. вообще ничего не происходит, возможно это случай, описанный мною на anti-malware
www.anti-malware.ru/forum/index.php?showtopic=7120
Исправить можно сторонним редактором реестра - например, Registry Workshop или ERD

[nikita800]

Продолжаем
Какие логи надо, можно ещё раз повторить, а то я уже запутался в них.

Так, реестр я запустил, что смотреть в нём и что сохранять?

[Borka]

Какие логи надо, можно ещё раз повторить, а то я уже запутался в них.

Те же, что и были: лог Хайджека, РкУ и три лога КуреИта.

[nikita800]

И еще, как указано по ссылке выше, у меня в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options
почти все строки debugger, со значением "ntsd -d"
Поменял Хиджек значение на "ntsd" и он запустился.
Мне что теперь вручную каждый параметр "ntsd -d" на "ntsd" менять???

[Borka]

Мне что теперь вручную каждый параметр "ntsd -d" на "ntsd" менять???

Вероятно. Дебаггер там не в тему.

[nikita800]

Мне что теперь вручную каждый параметр "ntsd -d" на "ntsd" менять???

Вероятно. Дебаггер там не в тему.

Возможно что из-за этого я не могу включить Планировщик?

[nikita800]

При запуске Хайджека вот это показывается http://savepic.ru/545060.png

И такая же фигня, если запустить DrWebUpW.exe из папки Др.Веба вручную.

[nikita800]

Покажите экспорт ветки реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule

Вот


 Schedule.rar   1,03К   45 Скачано раз

[userr]

И еще, как указано по ссылке выше, у меня в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options почти все строки debugger, со значением "ntsd -d"

экспорт этой ветки тоже приложите

[mrbelyash]

Экспортируйте всю ветку реестра
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Эти не обязательно,но желательно
[HKEY_CLASSES_ROOT\exefile]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

[nikita800]

Вот архив. Там лог руткита и тройной проверкой антивирусом. Вирусов не обнаружено.

 Logs.rar   406,64К   39 Скачано раз

[nikita800]

Экспортируйте всю ветку реестра
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Эти не обязательно,но желательно
[HKEY_CLASSES_ROOT\exefile]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

Вот тут все ветки, какие просили

 LogReestr.rar   10,34К   42 Скачано раз

[mrbelyash]

Экспортируйте всю ветку реестра
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

Эти не обязательно,но желательно
[HKEY_CLASSES_ROOT\exefile]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]

Вот тут все ветки, какие просили

 LogReestr.rar   10,34К   42 Скачано раз

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\drwadins.exe]
"Debugger"="ntsd"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DRWEB32.EXE]
"Debugger"="ntsd"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\drwebupw.exe]
"Debugger"="ntsd"

В этих трех ветках убираем "Debugger"="ntsd"
Только "Debugger"="ntsd"
И запускаем обновлялку....Смотрим через пару минут-ветка восстановилась?

ИМХО в этой ветке все параметры "Debugger"="ntsd" можно убить,но только после создания контрольной точки восстановления.

Видать семейство http://vms.drweb.com/virus/?i=115441
Хотя лучше бы в суппорт.

[nikita800]

В этих трех ветках убираем "Debugger"="ntsd"
Только "Debugger"="ntsd"
И запускаем обновлялку....Смотрим через пару минут-ветка восстановилась?

ИМХО в этой ветке все параметры "Debugger"="ntsd" можно убить,но только после создания контрольной точки восстановления.

Видать семейство http://vms.drweb.com/virus/?i=115441
Хотя лучше бы в суппорт.

Т.е кликнуть правой кн.мыши на Debugger--Удалить ???

А я нажимал Изменить и исправлял "ntsd -d" на "ntsd"

Щас поудаляю всё... а как сделать контрольную точку восстановления?

[mrbelyash]

В этих трех ветках убираем "Debugger"="ntsd"
Только "Debugger"="ntsd"
И запускаем обновлялку....Смотрим через пару минут-ветка восстановилась?

ИМХО в этой ветке все параметры "Debugger"="ntsd" можно убить,но только после создания контрольной точки восстановления.
Видать семейство http://vms.drweb.com/virus/?i=115441
Хотя лучше бы в суппорт.

Т.е кликнуть правой кн.мыши на Debugger--Удалить ???
А я нажимал Изменить и исправлял "ntsd -d" на "ntsd"
Щас поудаляю всё... а как сделать контрольную точку восстановления?

В принципе не надо точку восстановления..Если что запустите потом "Image File Execution Options.reg" что присылали(но думаю не понадобится)
Да,удалить

P.S.
Но пока удалить только из этих трех веток
P.P.S.
C:\WINDOWS\System32\Drivers\a16t5gy0.SYS
C:\DOCUME~1\NIKITA~1\LOCALS~1\Temp\BYhk8KHo.sys
на вирустотал

Сообщение было изменено mrbelyash: 01 Апрель 2009 - 19:38