Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   Не работает SafeMode (XP SP3) (http://forum.oszone.net/showthread.php?t=163504)

DmitryOlenin 14-01-2010 18:35 1320211
Не работает SafeMode (XP SP3)
 
Вложений: 1
В середине прошлого года подцепил попрошайку. Требование СМС и всё такое.
Версия была продвинутой, на генераторы в инете не отзывалась, помогла только загрузка с LiveCD и удаление файлов руками.

После этого начались проблемы:
1. Перестал работать SafeMode.
2. Стали появляться глюки с explorer.exe
(система "висла" после щелчка правой кнопкой на любом файле, помогало только убитие и запуск снова процесса explorer.exe).
3. Перестал работать журнал "Event Viewer".

Проблему 3 я вроде как решил(путём удаления каталога с логами). Очень помог наш форум с советами :)
Проблема 2 беспокоит не очень сильно (хотя тоже неплохо бы её решить).

Однако неработающий SafeMode напрягает...
При загрузке появляется синий экран:
Stop 0x0000007B (0xF78C6524, 0xC0000034, 0x00000000, 0x00000000).

Тему с аналогичным названием прочёл.
Большой скрипт рекомендуемый выполнил (безрезультатно).
Существенных системных проблем AVZ не выявил.
В журнале системных событий ни одной ошибки при загрузке.


-----Добавлено после дополнительных проверок-----
Отключил часть служб, которые были рекомендованы и удалил WebDrive, который avz показался подозрительным.
Ещё удалил драйвер Lbd.sys по аналогичной причине.

Также я провёл мини-расследование, может как-то поможет.

В директории Windows\Temp был файл pi.exe.
Который опознался как троян кажется. Удалил.

Возможно "подозрительные" драйвера ubdrvgd и ubarcgd - это драйвера для работы с USB. Установлены были сильно позже появления всех вышеописанных проблем.
Однако попытка их отключения даёт ту же самую Stop 0x0000007B (с другим, правда, первым значением в скобках).

Насчёт процессов:
ezlcd_system_monitor(x86).exe - апплет для клавиатуры.
Древний довольно, окна своего не имеет. Работает нормально. Не вирус.
notepad.exe - не стандартный блокнот, а AkelPad. Не вирус.
speedfan.exe - ну, он и есть. Не вирус.

iskander-k 14-01-2010 19:41 1320277
  1. Отключите интернет и локальную сеть если таковая имеется.
  2. Очистите временные файлы.
    Очистите временные файлы через Пуск - Программы - Стандартные - Служебные - Очистка диска или с помощью ATF Cleaner.
    • Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
    • Если вы используете Firefox, нажмите Firefox - Select All - Empty Selected.
    • Нажмите No, если вы хотите оставить ваши сохраненные пароли.
    • Если вы используете Opera, нажмите Opera - Select All - Empty Selected.
    • Нажмите No, если вы хотите оставить ваши сохраненные пароли.
  3. Восстановление системы. Создание новой контрольной точки восстановления и очистка предыдущих.
    • Создание новой точки восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
    • Очистка всех предыдущих точек восстановления: Нажмите Пуск > Программы > Стандартные > Служебные > Очистка диска, выберите системный диск, на вкладке Дополнительно > Восстановление системы нажмите Очистить, нажмите Да для очистки всех точек восстановления, кроме последней.

* Подробнее можно прочитать в этой теме.


• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Windows\Temp\pi.exe','');
 DeleteFile('C:\Windows\Temp\pi.exe');
DelCLSID('TBAS4856-38FG-OJ3Q-36U5-18J8HJ6G3EHV');
DelCLSID('D426290F-9A6A-297C-2B6F-ECA500E88E2F');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(10);
RebootWindows(true);
end.
После всех процедур выполните скрипт
Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip Вышлите полученный файл quarantine.zip на newvirus@kaspersky.com. Результаты ответа, сообщите здесь, в теме.

В хост файл сами прописали адреса ?

И сделайте этот лог
• Скачайте Malwarebytes Anti-Malware, установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - нажмите Remove Selected (удалить выделенные). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

DmitryOlenin 14-01-2010 20:06 1320307
Спасибо за оперативный ответ.

1. Скрипт AVZ выполню, однако смысла особенного в нём не вижу, т.к. файл (а так же ключи реестра) давно удалил руками.

2. Карантин, как я понимаю, мне нужен тот, который уже есть на данный момент?
То есть если, условно, я сейчас переустановлю AVZ (то есть почищу директорию карантина) и выполню скрипты стандартные скрипты 2,3.
А потом выполню скрипт сбора карантина, будет нормально?

Дело в том, что в нём нет вируса никакого, как я понимаю :( Файла pi.exe, повторюсь, давно уже нет на диске.

3. В файл hosts прописывал строки сам, да.

4. Очистку при помощи ATF Cleaner сделаю для чистоты эксперимента, логи Malwarebytes Anti-Malware выложу ближе к ночи.


Надеюсь, что удастся найти причину проблемы.
Пока что я склоняюсь к тому, что либо поврждены какие-то системные файлы (понять бы какие),
либо в загрузке стоит кривой драйвер, который рушится в SafeMode по какой-то причине.

iskander-k 14-01-2010 22:28 1320453
Цитата:
Цитата DmitryOlenin
1. Скрипт AVZ выполню, однако смысла особенного в нём не вижу, т.к. файл (а так же ключи реестра) давно удалил руками. »
А зачем тогда вы выложили старый лог ? Даже если вы удалили файл в реестре остались следы, а скрипт подчистит эти следы.
Цитата:
Цитата DmitryOlenin
Перестал работать SafeMode. »
Это последствия действия вируса - таким образом он защищает себя. Скрипт данный вам должен исправить и восстановить безопасный режим. После выполнения скрипта сделайте новые логи.

DmitryOlenin 14-01-2010 23:35 1320521
Спасибо, вы меня выручили.
Скрипт полностью восстановил работоспособность SafeMode.
Проблему Safe Mode можно считать решённой.

Malwarebytes Anti-Malware нашёл мне какой-то троян ещё в реестре - почистил.
Полную проверку сделать пока не решился, ибо это займёт часов 8 минимум.
К слову, на безобидный newtstop.dll (из коплекта пилюлек для Radmin) ругается.
А Лаборатория Касперского ещё 29.04.2008 исключила этот файл из базы троянов.

Логи приложу чуть ниже.

iskander-k 15-01-2010 08:56 1320723
• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.
Код:
begin
 ExecuteRepair(16);
RebootWindows(true);
end.
Цитата:
Цитата DmitryOlenin
К слову, на безобидный newtstop.dll (из коплекта пилюлек для Radmin) ругается. »
МБАМ не любит креки.
А где лог МБАМ ?

DmitryOlenin 15-01-2010 13:12 1320921
Вложений: 1
Спасибо.
Хотя, как я понял, проблема решена была с вашей помощью ещё вчера.

Скрипт выполнил.
Скажите пожалуйста, а что он делал? :)
Просто хочется понимать, может в будущем пригодится.

Выполнил быструю проверку Malwarebytes Anti-Malware (30 минут).
Нашёл 8 якобы угроз, и ни одной реальной, к счастью.
Лог прилагаю.

iskander-k 15-01-2010 13:36 1320935
Цитата:
Цитата DmitryOlenin
Скрипт выполнил.
Скажите пожалуйста, а что он делал? »
Первый скрипт почистил следы зловреда и восстановил ключи запуска безопасного режима.
Код:
ExecuteRepair(10);
второй скрипт должен исправить ключи запуска explorer - вы жаловались на его работу.
Цитата:
Цитата DmitryOlenin
2. Стали появляться глюки с explorer.exe
(система "висла" после щелчка правой кнопкой на любом файле, помогало только убитие и запуск снова процесса explorer.exe). »
Цитата:
Цитата DmitryOlenin
Просто хочется понимать, может в будущем пригодится. »
Почитайте темуОбучение методам грамотного лечения от вредоносных программ

DmitryOlenin 15-01-2010 14:11 1320962
Вложений: 1
Спасибо за советы и объяснения.

Explorer вроде стал работать нормально после того, как восстановил работу ивентлога.

Сейчас проверил ещё раз - опять перестал работать :(
Правая клавиша на файле - система "задумалась" и всё...
Explorer умер опять :(

Причём происходит это не каждый раз.
То есть сейчас перезапустил процесс - нормально работает правый щёлчок на том же файле.

Теперь вновь жду ваших советов.
Логи только что сделал - прилагаю.

P.S.
Кроме всего прочего произвёл чистку и сжатие реестра при помощи TuneUp.
Также проверил полностью (5 этапов) чекдиском все локальные диски.



---------Добвлено несколько часов спустя---------

Выполнил скрипт AVZ (по совету с форума virusinfo):
Код:
begin
ExecuteRepair(13);
end.
Вроде проблема решена.
Точно сказать не могу, но первые ощущения такие.

Drongo 15-01-2010 18:56 1321146
DmitryOlenin, Прикольно получилось. :) Если бы вы этого не написали.
Цитата:
Цитата DmitryOlenin
3. В файл hosts прописывал строки сам, да. »
То команду 13 - которая очищает файл hosts вам бы дали наши хелперы.
Цитата:
Цитата DmitryOlenin
Выполнил скрипт AVZ (по совету с форума virusinfo):
Код:
begin
ExecuteRepair(13);
end.
»
Если же вы не понимаете назначение команд, то лучше никогда не выполнять скриптов которые были написаны для других участников.

DmitryOlenin 15-01-2010 19:00 1321151
Drongo,
Не понимаю, т.к. не смог найти в гугле описания команд :(

А на форуме VirusInfo это именно мне порекомендовали выполнить.
Жаль только, что не сказали, что именно делает команда.

В таком случае выходит, что периодические зависания процесса explorer.exe
всё ещё возможно.

Судя по всему тут ситуация очень сложная, потому наверное проще на неё не обращать внимания.

Drongo 15-01-2010 19:48 1321194
Цитата:
Цитата DmitryOlenin
Жаль только, что не сказали, что именно делает команда. »
Список всех команд восстановления и описание что из них каждая делает - 6.2 Восстановление системы

Цитата:
Цитата DmitryOlenin
мне порекомендовали выполнить. »
Вам порекомендовали выполнить команду потому что вы им не объяснили что файл hosts правлен вами. :)

Попробуйте ещё эту рекомендацию.
• Скачайте SDFix, загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования скопируйте текст из C:\Report.txt и вставьте в следующее сообщение или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь.

DmitryOlenin 15-01-2010 22:10 1321300
Вложений: 1
Drongo,
Спасибо за наводку. Это полезно знать каждому!

Скачал и провёл исследование при помощи SDFix, 2 раза загрузившись в SafeMode.

Файл отчёта прилагаю. Никаких проблем не выявил, насколько я вижу.
Разве что посчитал Utorrent в корне Windows трояном. Ну да неважно, у меня есть запасной.

Но explorer.exe пока не даёт о себе знать.
Может быть это был какой-то локальный глюк, когда я попытался щёлкнуть на файл именно в тот момент,
когда процесс был занят чем-то своим, а я его отвлёк :)

Drongo 16-01-2010 23:49 1322169
DmitryOlenin, По логу ничего вредного нет. Помониторьте ещё некоторое время систему.

DmitryOlenin 17-01-2010 17:10 1322738
В очередной раз повис процесс explorer.exe (вместе с таскбаром, рабочим столом и т.д., как обычно).

Попробую обновить его на актуальную версию (у меня 6.0.2900.5512, а поставлю 6.0.2900.5634).
А заодно, возможно, исправлю ситуацию.

Drongo 17-01-2010 19:12 1322850
DmitryOlenin, Попробуйте создать тему в разделе - Устранение критических ошибок Windows, сделав все необходимые правила того раздела. Так же дайте ссылку на эту тему, чтобы не было желания вернуть вас в лечение. :)

DmitryOlenin 19-01-2010 13:12 1324220
Drongo,
Спасибо, однако там в правилах указано:
Цитата:
В форуме "Устранение критических ошибок Windows" обсуждаются только ошибки операционных систем Windows 2000/XP/2003/Vista, отображаемые в журнале событий (eventvwr.msc) и на синих экранах, также именуемых Blue Screen of Death или BSOD, а также способы выявления причин и устранения таких ошибок.
То есть повисания explorer.exe (которое, кстати, продолжаются и по сей день) в это прокрустово ложе не вписываются :(

Drongo 19-01-2010 15:01 1324308
DmitryOlenin, Так в том-то и дело, посмотрев по журналу событий
Цитата:
Цитата DmitryOlenin
отображаемые в журнале событий (eventvwr.msc) »
об ошибках Explorer вы можете создать тему с соответствующими логами для этого раздела.

DmitryOlenin 19-01-2010 16:07 1324382
Drongo,
В том-то и проблема, что в журнале событий никаких упоминаний об этих зависаниях нет вовсе.

То есть процесс explorer.exe виснет. Трей, таскбар, рабочий стол становятся недоступны,
а в журнале ни одной строчки не появляется.


Время: 03:43.

Время: 03:43.
© OSzone.net 2001-