Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   Пропадают данные с диска D (http://forum.oszone.net/showthread.php?t=177640)

Andrey 0123 08-06-2010 10:45 1429842
Пропадают данные с диска D
 
Обращаюсь к знающим людям за помощью. Назову свою проблему "компьютер-убийца".

Суть проблемы.
Какая-то программа, а может вирус или еще фиг знает что удаляет часть данных с диска D. Обнаруживаю это утром, когда включаю компьютер. Такое случалось уже дважды. Причем, судя по всему, удаляются те данные, которые не использовались в последнее время, хотя, если речь идет, допустим, о видео файлах, то удаляет все, кроме файлов, которые использовались в последний день накануне удаления. Т.е. каталог Video оставляет, а в нем оставляет только те каталоги, в которых хранятся использованные вчера видео файлы. Логику удаления остальных файлов вообще понять крайне трудно. В этот раз на диске D осталось только 4 каталога: Andrey, Books, Photo, Video и файлик Backup.bkf. В первых трех папках вроде все цело, про папку Video написал выше. Диск C "чистка" не коснулась. Что же касается файлов на диске D, то в первый раз подобного явления, к примеру, каталог Books остался, но файлов в нем не было, сейчас все файлы целы (но тут, как я и писал выше, предполагаю, связано это с тем, что всеми файлами пользовались не так давно, и их всего там штук 5; раньше было гораздо больше).
Кто знает, в чем дело?

Для помощи представлю возможно полезную информацию.
Не так давно, месяцев 5 назад, купил новый комп. Его описание давать не буду, думаю, это неважно для сути проблемы. Изначально жесткий диск (500 Гб) был отдан весь под один раздел, потом я его перебил на 2 диска: C – 201 Гб, D – 262 Гб. Часть объема от дисков отдал под Acronis для восстановления (правда, вот теперь не знаю, как мне это поможет). На C: установил винду с диска Zver 2010 (Windows XP SP3 Rus + Alkid SE).
Список процессов при загрузке системы:
Имя процесса / Файл процесса
AutoUpdate.exe C:\Program Files\UKR-GIS\Информационно-справочная система\AutoUpdate.exe
BCU.exe C:\Program Files\DeviceVM\Browser Configuration Utility\BCU.exe
BCUService.exe C:\Program Files\DeviceVM\Browser Configuration Utility\BCUService.exe
CALMAIN.exe C:\Program Files\Canon\CAL\CALMAIN.exe
CDAC11BA.EXE C:\WINDOWS\system32\drivers\CDAC11BA.EXE
DTHtml.exe C:\Program Files\Acer Display\eDisplay Management\DTHtml.exe
DTLite.exe C:\Program Files\DAEMON Tools Lite\DTLite.exe
DTSRVC.exe C:\Program Files\Common Files\Portrait Displays\Shared\DTSRVC.exe
DualCoreCenter.exe C:\Program Files\MSI\DualCoreCenter\DualCoreCenter.exe
egui.exe C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
ekrn.exe C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
ESSVR.EXE C:\Program Files\Gigabyte\EasySaver\ESSVR.EXE
everest.exe C:\Program Files\Everest\everest.exe
Explorer.exe C:\WINDOWS\Explorer.exe
floater.exe C:\Program Files\Portrait Displays\Pivot Software\floater.exe
hasplms.exe C:\WINDOWS\system32\hasplms.exe
HookManager.exe C:\Program Files\Common Files\Portrait Displays\Shared\HookManager.exe
LClock.exe C:\Program Files\LClock\LClock.exe
LMonitor.exe C:\Program Files\MSI\Live Update 3\LMonitor.exe
Logon.exe C:\Program Files\MSI\SecureDoc\Logon.exe
lsass.exe C:\WINDOWS\system32\lsass.exe
nvsvc32.exe C:\WINDOWS\system32\nvsvc32.exe
punto.exe C:\Program Files\Yandex\Punto Switcher\punto.exe
RTHDCPL.EXE C:\WINDOWS\RTHDCPL.EXE
services.exe C:\WINDOWS\system32\services.exe
smss.exe C:\WINDOWS\System32\smss.exe
spoolsv.exe C:\WINDOWS\system32\spoolsv.exe
svchost.exe C:\WINDOWS\system32\svchost.exe
svchost.exe C:\WINDOWS\System32\svchost.exe
svchost.exe C:\WINDOWS\system32\svchost.exe
svchost.exe C:\WINDOWS\system32\svchost.exe
svchost.exe C:\WINDOWS\System32\svchost.exe
UpdateClientService.exe C:\Program Files\2gis\UpdateClientWin32\UpdateClientService.exe
VistaDrv.exe C:\Program Files\VistaDriveIcon\VistaDrv.exe
winampa.exe C:\Program Files\Winamp\winampa.exe
winlogon.exe C:\WINDOWS\system32\winlogon.exe
WINWORD.EXE C:\Program Files\Microsoft Office\Office12\WINWORD.EXE
wpctrl.exe C:\Program Files\Portrait Displays\Pivot Software\wpctrl.exe

Если нужны какие-то еще данные по системе, программам и их настройкам на моем компе, выложу тут же, только помогите! Хотелось бы узнать:
1) Что удаляет файлы на моем компе и как этого избежать в будущем;
2) Как восстановить удаленные файлы.
Хотя, предполагаю, узнав ответ на первый вопрос, возможно будет ясен ответ и на второй вопрос.
Заранее благодарен тем, кто постарается мне помочь.

iskander-k 08-06-2010 13:20 1429929
так как у вас сборка

Цитата:
Цитата Andrey 0123
C: установил винду с диска Zver 2010 (Windows XP SP3 Rus + Alkid SE). »
То скорее всего установилась втихую какая-то программка.


Для начала
Выложите логи в соответствии с этими инструкциями.

Andrey 0123 08-06-2010 13:37 1429943
Логи обязательно выложу.
Но, кстати, склоняюсь к одной версии, полученной на другом сайте. Вот ее суть:
Попробуйте прошить винчестер, думаю, что проблема именно в нем. На эту модель многие ругаются.
Цитата:Баги характерные: фризы системы (особенно заметно когда интернет радио играет) и один раз система Вин 7 в синий экран ушла, после чего я и решил срочно заглянуть на страницу seagate и в строке поиска ввел номер модели своего жесткого диска после чего вышел вот на такую страницу обновления:
Barracuda 7200.12 Firmware Update

Под обновления попали:
ST3160318AS
ST3250318AS
ST3320418AS
ST3500410AS
ST3500418AS
ST3750528AS
ST31000528AS

Ссылка на саму прошивку:
http://www.seagate.com/staticfiles/s...2-ALL-CC3E.exe
Данная прошивка предназначена только для дисков 12 серии

Прошивка происходит в автоматическом режиме, все что требуется от Вас - это отключить от питания другие диски, если таковые имеются, запустить инсталяционный файл прошивки и после перезагрузки убрать руки от клавы на 5 минут).

У меня, как раз, модель жесткого ST3500418AS.
Кроме того, посмотрел более внимательно файлы, которые остались неудаленными. Оказывается, среди видео файлов есть и те, которыми я уже давно не пользовался и плюс еще пару файлов, один из которых скачивался с торента, а другой, который я смотрел поздно вечером. Получается, что кроме некоторых старых файлов, которые, по-моему, не пострадали и в первый раз и которые, преположительно, находятся в определенной, "безопасной" области диска, сохранились только файлы, которые так или иначе использовались в тот момент, когда произошел сбой. А так как сразу я его не заметил, выключил комп и лег спать, то заметил это, как и в первый раз, только утром. Думаю так...

Т.е. уже склоняюсь к мысли, что дело - в жестком диске. Но логи соберу и воложу все равно

iskander-k 08-06-2010 22:41 1430299
По поводу HDD вам надо обратиться в соответствующий раздел этого форума.

Andrey 0123 16-06-2010 12:40 1435191
Вложений: 1
Надеюсь, эту тему еще читают.
Вот логи:

icotonev 16-06-2010 13:07 1435206
Здравствуйте.
Выполните скрипт в AVZ



Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\YItuyW.Exe','');
 QuarantineFile('C:\YitUyw.EXe','');
 QuarantineFile('c:\autorun.inf','');
 QuarantineFile('d:\autorun.inf','');
DeleteFile('C:\YitUyw.EXe');
 DeleteFile('C:\YItuyW.Exe');
 DeleteFile('c:\autorun.inf');
 DeleteFile('d:\autorun.inf');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(1);
RebootWindows(true);
end.
Комп перезагрузится
Выполните скрипт

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine .zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму(http://support.kaspersky.ru/virlab/helpdesk.html). В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Полученный ответ сообщите здесь.

Пофиксить в HJT следующие строчки
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\of8RMOl.exe,
Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - нажмите "Remove Selected" (удалить выделенные.... смотрите, что удаляете). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

Пожалуйста обновите баз AVZ
нажмите Файл => Обновление баз => Пуск

Подготовке логи: HiJackThis + АВЗ + RSIT..!

Drongo 16-06-2010 13:14 1435211
MotherBoard, icotonev, Уж извините что кому-то почикал тему и кому-то восстановил, но так уже получилось. :cool:


Время: 22:16.

Время: 22:16.
© OSzone.net 2001-