30 ответов в этой теме

[alessio.eburg]

на рабочей станции под windows-xp-SP2 пользователь поймал вирус. В результате перестал запускаться Drweb 4.44, при запуске сканера система вылетала с синим экраном смерти, где писалось про проблему в каком-нибудь файле с расширением sys (имя файла каждый раз разное - примерно такого вида: 0gb0m10f.sys, e6kXYame.sys, файлов с таким именем в системе нет), попытка пролечить систему утилитой cureit не принесла успеха, при запуске cureit происходило то же самое - синий экран и жалоба на очередной файл sys, переименование файла запуска тоже не помогло. Сканирование HDD с другой машины обновленным Drweb версии 5.0 выявило кучу руткитов и несколько троянчиков. Все они успешно были удалены. При возвращении HDD на родную машину проблема с запуском сканера осталась, те же симптомы что и до лечения, попытка переустановить версию 4.44 на 5,0 закончилась синим экраном в момент попытки запустить сканирование в момент установки. В реестре секция run во всех ветках вычещена, сканирование HDD на чистых машинах ничего не выявляет. Прошу помощи, т.к. банально не знаю в каком направлении дальше двигаться. http://forum.drweb.com/public/style_emoticons/default/blink.png

[pig]

Делайте логи какие сможете. CureIt сейчас тоже синий экран вызывает?

От синего экрана дамп бы не помешал.

[alessio.eburg]

Делайте логи какие сможете. CureIt сейчас тоже синий экран вызывает?

СureIt тоже синий экран вызывает, причем в безопасном режиме тоже.

Логи чего делать?
Минидамп загрузил сюда. расширение заменено с dmp на txt.

Прикрепленные файлы:

•  Mini080409_13.txt   88К   64 Скачано раз

Сообщение было изменено alessio.eburg: 05 Август 2009 - 11:38

[pig]

Это читали?

[Borka]

Сканирование HDD с другой машины обновленным Drweb версии 5.0 выявило кучу руткитов и несколько троянчиков. Все они успешно были удалены.

Озвучьте их имена, пожалуйста.

[alessio.eburg]

Это читали?

Это не помогло, т.к. Хайджек тоже не запускается, просто молчок после запуска и никакой процесс даже в диспечере не запускается.

[mrbelyash]

Это читали?

Это не помогло, т.к. Хайджек тоже не запускается, просто молчок после запуска и никакой процесс даже в диспечере не запускается.

Пуск 0Выполнить

вставить строчку

reg export "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" c:\1.reg


Ок...

Файл 1.reg приложить на форуме

[alessio.eburg]

Сканирование HDD с другой машины обновленным Drweb версии 5.0 выявило кучу руткитов и несколько троянчиков. Все они успешно были удалены.

Озвучьте их имена, пожалуйста.

Имена я не записал, но имена нт.руткит и номер, было 3-4 разновидности. В основном все сидело в каталоге службы восстановления системы, и в системном каталоге и подкаталогах.

[mrbelyash]

Сканирование HDD с другой машины обновленным Drweb версии 5.0 выявило кучу руткитов и несколько троянчиков. Все они успешно были удалены.

Озвучьте их имена, пожалуйста.

Имена я не записал, но имена нт.руткит и номер, было 3-4 разновидности. В основном все сидело в каталоге службы восстановления системы, и в системном каталоге и подкаталогах.

Сканирование с другой машины=лог на другой машине

[alessio.eburg]

Это читали?

Это не помогло, т.к. Хайджек тоже не запускается, просто молчок после запуска и никакой процесс даже в диспечере не запускается.

Пуск 0Выполнить

вставить строчку

reg export "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" c:\1.reg


Ок...

Файл 1.reg приложить на форуме

прикрепил файл. расширение reg заменено на txt

Прикрепленные файлы:

•  1.txt   93,52К   45 Скачано раз

[mrbelyash]

Это читали?

Это не помогло, т.к. Хайджек тоже не запускается, просто молчок после запуска и никакой процесс даже в диспечере не запускается.

Пуск 0Выполнить

вставить строчку

reg export "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" c:\1.reg


Ок...

Файл 1.reg приложить на форуме

прикрепил файл. расширение reg заменено на txt

Да-да


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DRWEB32.EXE]
"Debugger"="ntsd -d"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\drwebupw.exe]


MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\HijackThis.exe]
"Debugger"="ntsd -d"

-------------

Пуск-Выполнить...

Вставить строку

reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /va

OK

Запустить приложенный файл

[Borka]

Минидамп загрузил сюда. расширение заменено с dmp на txt.

На Шилд похоже:
0: kd> lmvm C2DbU2Fq
start end module name
a9d05000 a9d31c80 C2DbU2Fq T (no symbols)
Loaded symbol image file: C2DbU2Fq.sys
Image path: C2DbU2Fq.sys
Image name: C2DbU2Fq.sys
Timestamp: Thu Jun 25 07:55:14 2009 (4A430332)
CheckSum: 00034D51
ImageSize: 0002CC80
Translations: 0000.04b0 0000.04e0 0409.04b0 0409.04e0

[alessio.eburg]

Пуск-Выполнить...

Вставить строку

reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /va

OK

Запустить приложенный файл

Все выполнил, хайджек запустился, вот его лог

Минидамп загрузил сюда. расширение заменено с dmp на txt.

На Шилд похоже:
0: kd> lmvm C2DbU2Fq
start end module name
a9d05000 a9d31c80 C2DbU2Fq T (no symbols)
Loaded symbol image file: C2DbU2Fq.sys
Image path: C2DbU2Fq.sys
Image name: C2DbU2Fq.sys
Timestamp: Thu Jun 25 07:55:14 2009 (4A430332)
CheckSum: 00034D51
ImageSize: 0002CC80
Translations: 0000.04b0 0000.04e0 0409.04b0 0409.04e0

Это хорошо или плохо? http://forum.drweb.com/public/style_emoticons/default/smile.png

Прикрепленные файлы:

•  hijackthis.log   5,66К   48 Скачано раз

[mrbelyash]

O20 - AppInit_DLLs: cru629.dat

[alessio.eburg]

O20 - AppInit_DLLs: cru629.dat

Пофиксил, но результата не дало. По прежнему при запуске сканера синий экран.

[Borka]

O20 - AppInit_DLLs: cru629.dat

Пофиксил, но результата не дало. По прежнему при запуске сканера синий экран.

Запись в Хайджеке осталась?

[alessio.eburg]

O20 - AppInit_DLLs: cru629.dat

Пофиксил, но результата не дало. По прежнему при запуске сканера синий экран.

Запись в Хайджеке осталась?

Запись изчезла, при повторных сканированиях не появляется

[Borka]

РкУ запустить можете?

[userr]

alessio.eburg
Нужен дамп памяти ядра при падении cureit и системы в безопасном режиме - см http://wiki.drweb.com/index.php/BSOD . Выложите дамп памяти ядра в архиве в Инет и дайте мне в ПМ ссылку

Пожалуйста, подробно (производитель, модель) расскажите какие жёсткие диски, в каком режиме стоят на компьютере. USB HDD есть?

[alessio.eburg]

РкУ запустить можете?

РКУ не запускается - вылетает синий экран смерти.

Минидамп прилагаю, расширение dmp заменено на txt

Прикрепленные файлы:

•  Mini080509_06.txt   88К   39 Скачано раз