5 ответов в этой теме

[andor]

Подруга пригласила посмотреть на её компьютер, с жалобой что закрываются браузеры. Она скачивала кьюрит, делала быструю проверку - ничего не нашлось. При запуске оперы окно появляется буквально на секунду и тут же просто исчезает. Мозила и гугл хром прежде чем исчезнуть сообщают мол произошла ошибка программа будет закрыта. Интернет експлорер также закрывается с ошибкой что "инструкция обратилась к памяти и т.д". Кроме того не запускается msconfig также ошибка "инструкция обратилась к памяти и т.д".загрузил безопасный режим зашет там в учетку Администратор - там вроде все ок. Это навело на мысль создать нового пользователя. Кстати создать пользователя получилось только в безопасном, так как в обычном режиме при попытке создать учетку - снова "инструкция обратилась к памяти и т.д". В новом созданном пользователе все ок, браузеры открываются, msconfig запускается, все работает. Обрадовался и ушел домой. А вечером подруга звонит мне и сообщает что в новой учетке все опять стало как и в предыдущей, за исключением интернета эксплорера который вроде как работает. Сейчас забрал комп себе, создал еще одну учетку, в ней вроде пока все работает поэтому в ней сделал все логи:

Прикрепленные файлы:

•  logs.rar   1,4Мб   13 Скачано раз

[Borka]

Основной АВ - Аваст? Раньше стоял НОДа, но сейчас только файер? Запускали утиль каспера?
Вот это можно грохнуть:
C:\WINDOWS\system32\DRIVERS\61088662.sys 5382144 bytes (Kaspersky Lab ZAO, Kaspersky Unified Driver)
C:\WINDOWS\system32\DRIVERS\69204983.sys 5382144 bytes (Kaspersky Lab ZAO, Kaspersky Unified Driver)
C:\WINDOWS\system32\DRIVERS\56801921.sys 5373952 bytes (Kaspersky Lab, Kaspersky Unified Driver)
C:\WINDOWS\system32\DRIVERS\5680192.sys 331776 bytes (Kaspersky Lab, Klif Mini-Filter [fre_wnet_x86])
C:\WINDOWS\system32\DRIVERS\56801922.sys 53248 bytes (Kaspersky Lab, Kaspersky Lab Boot Guard Driver)

Хо-хо... Такого я не еще видел:

WARNING: Virus alike driver modification [z3f2cm95.sys]
...
WARNING: Virus alike driver modification [w600mdm.sys]

Знаете, что это:
C:\WINDOWS\Temp\GuardGuard.exe
C:\Program Files\mediabar Toolbar\RubarBroker.exe
C:\Program Files\mediabar Toolbar\RubarUpdateService.exe
c:\windows\nclaunch.exe
c:\documents and settings\user\application data\complitly\complitly.dll
?
Если не - проверяйте на ВирусТотал, ссылки сюда.

Интересно, зачем это:
0x88BC1CD0 [2412] C:\WINDOWS\system32\ctfmon.exe (Microsoft Corporation, CTF Loader)
0x89E37390 [3256] C:\WINDOWS\system32\ctfmon.exe (Microsoft Corporation, CTF Loader)
0x893605B8 [3604] C:\WINDOWS\system32\ctfmon.exe (Microsoft Corporation, CTF Loader)

[Aleksandra]

Грохать ничего нельзя! Нужно грамотно удалить http://support.kaspersky.ru/faq/?qid=208635705

Все остальное интереса не представляет.

[Aleksandra]

Сейчас забрал комп себе, создал еще одну учетку, в ней вроде пока все работает поэтому в ней сделал все логи:

Логи нужно делать из проблемной учетки.

[andor]

Основной АВ - Аваст? Раньше стоял НОДа, но сейчас только файер? Запускали утиль каспера?

Сейчас аваст, все верно. Про нод ничего не знаю но скорее всего так и было, раз вы увидели его следы в системе. Утилита касперского это уже моя работа, но она не смогла установиться а валила комп в синий экран.

Хо-хо... Такого я не еще видел:
Цитата WARNING: Virus alike driver modification [z3f2cm95.sys]
...
WARNING: Virus alike driver modification [w600mdm.sys]

Уж я то тем более такого ничего не видел, и не представляю что это значит.

Интересно, зачем это:
0x88BC1CD0 [2412] C:\WINDOWS\system32\ctfmon.exe (Microsoft Corporation, CTF Loader)
0x89E37390 [3256] C:\WINDOWS\system32\ctfmon.exe (Microsoft Corporation, CTF Loader)
0x893605B8 [3604] C:\WINDOWS\system32\ctfmon.exe (Microsoft Corporation, CTF Loader)

опять же не имею представления что это и зачем
скачал утилиту удаления остатков касперского, спасибо Aleksandra за ссылку.
прилагаю репорты вирустотала:
http://www.virustotal.com/file-scan/report...3d20-1314765737

http://www.virustotal.com/file-scan/report...90f7-1314765887

http://www.virustotal.com/file-scan/report...daee-1314765981

http://www.virustotal.com/file-scan/report...514c-1314766655

http://www.virustotal.com/file-scan/report...72e8-1314766968

Все чисто, кроме этого toolbara, он определился как adware.

Цитата (andor @ 31/08/2011 01:32) Сейчас забрал комп себе, создал еще одну учетку, в ней вроде пока все работает поэтому в ней сделал все логи:
Логи нужно делать из проблемной учетки.

сейчас постараюсь сделать логи в проблемной учетке

[andor]

Удивительное рядом... при попытке создать логи в проблемной учетке возникла неприятность - при запуске кьюрита, окна предупреждающего о защищенном режиме, полностью пропадает мышка. Это навело на мысль отключить CursorXP, который делает красивые курсоры. Отключил и о чудо! В проблемной учетке заработали браузеры, стал запускаться мсконфиг!!!! Поэтому то в новой учетке васе и работало, до того момента пока хозяйка не включала оформление курсора. Не совсем понятно как эта програмка cursorXP, смогла так вредить системе, но факт налицо.

Огромное спасибо всем откликнувшимся!