[решено] Не запускаются службы. Проблемы с доступом.

[AndreW82]

Система Windows XP Pro SP3. Симптомы один в один как здесь: net-worm.kido.ep (http://forum.oszone.net/thread-129194.html).
ESET Smart Security и CureIt ничего не находят.
Как это случилось:
Имеется стационарный комп с выходом в Интернет через ADSL-маршрутизатор, к которому был подключен по USB коммуникатор, который использовался в качестве Wi-Fi адаптера (Интернет на компе был расшарен, в свою очередь коммуникатор расшаривал Интернет на модуль Wi-Fi). Ноутбук выходил в Интернет через Wi-Fi подключение. На компе и ноуте стоит ESET Smart Security, в фаерволе на компе прописано правило разрешающее хождение всех пакетов внутри локальной подсети (моя ошибка, но подругому ноут отказывался видеть DNS). Бродил с ноута по Интернету. В какой-то момент (антивири молчали, в логах пусто) на стационарном компе вылезло уведомление типа "... каталог \Windows\system32 поврежден и не может быть прочитан..." в логе системы ошибка ntfs (...структура файловой системы повреждена, бла, бла, бла...). Во время перезагрузки запустилась проверка диска. Началось долгое исправление ошибок (что-то там про кривые индексы, а потом исправление security attributes системных файлов). После загрузки системы (не с первого раза) рабочий стол не появлялся пару минут, часть автозагрузки не загрузилась, процесс ekrn.exe (ядро ESS) начал жрать 50% процессорного времени, панель быстрого запуска исчезла, а языковая панель съехала влево к кнопке "Пуск", осел не запускаается, ярлыки на рабочем столе не перетаскиваются. В списке процессов в диспетчере задач нет информации о пользователях, от которых запущены процессы, нет и вкладки "Пользователи", папка сетевые подключения пуста, в списке служб (расширенный пустой, показывает только в стандартном) не работают жизненно необходимые службы, такие как "Удаленный вызов процедур (RPC)" (вручную не запускаются - отказано в доступе, твик реестра для авто-запуска служб не помогает), также не открываются свойства служб и свойства устройств в диспетчере устройств.

Логи прикладываю.

Я бы не заморачивался и переставил бы систему (уже несколько лет она работает исправно, правда один раз RAID-массив поломался - вывалился один хард из массива, но это железная проблема - создал заново массив, и MBR пришлось восстанавливать), но горит работа, а установочного диска лицензии Visual Studio у меня сейчас нет.
Помогите, пожалуйста. Заранее спасибо.

ЗЫ: Интернет на проблемной системе не работает (сначала работал, но потом я в диспетчере устройств выкл/вкл сетевой адаптер и все накрылось), так что обновить какую-нибудь тулзу, установленную на эту систему не получиться. На компе также стоит полностью работоспособная виста где Интернет есть.

[Pili]

AndreW82, Здравствуйте. С помощью cureit и AVPTool проверку проводили? AVZM не включен, хотя в правилах об этом есть.
Проверьте файлы на virustotal.com
C:\WINDOWS\system32\vsjitdebugger.exe
C:\WINDOWS\System32\Drivers\cvintdrv.SYS
C:\WINDOWS\Installer\3315d0.msi
c:\Apps\Windows_Projects\Temp\ProcMon\Output\ProcObsrv.sys
C:\Program Files\VirtualCamera\VirtualCameraMenu.dll
ссылки на рез-ты проверки выложите (если что-то найдется).

Скачайте SDFix (http://downloads.andymanchesta.com/RemovalTools/SDFix_ReadMe.htm) здесь (http://downloads.andymanchesta.com/RemovalTools/SDFix.exe) или здесь (http://www.downloads.andymanchesta.com/RemovalTools/SDFix.zip), загрузитесь в безопасном режиме, запустите утилиту (запустить RunThis.bat из папки SDFix - подтвердить, нажав "Y"), после окончания сканирования скопируйте (Ctrl+A, Ctrl+C) текст из C:\Report.txt и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\Report.txt и прикрепите к сообщению
Описание SDFix есть здесь (http://www.saule-spb.ru/library/sdfix.html) и здесь (http://virusnet.info/forum/showthread.php?t=512)

Скачайте Malwarebytes' Anti-Malware здесь (http://malwarebytes.gt500.org/mbam-setup.exe), здесь (http://www.besttechie.net/mbam/mbam-setup.exe), здесь (http://www.malwaresupport.com/mbam/program/mbam-setup.exe) или здесь (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe). Установите, обновите базы, выберите Perform Full Scan (Провести полную проверку), нажмите Scan (Проверить), после сканирования выберите Ок и далее Show Results (Показать результаты), нажмите "Remove Selected" (Удалить выделенные). После удаления откройте лог и скопируйте в сообщение. Логи сканирования можно посмотреть во вкладке Logs (Отчеты), выбрав отчет и нажав кнопку Open (Открыть).
Обновить базу МВАМ можете отдельно downloading the update MBAM (http://malwarebytes.gt500.org/mbam-rules.exe)

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
Установите Recovery Console по инструкции (на англ.яз) - how-to-use-combofix (http://www.bleepingcomputer.com/combofix/how-to-use-combofix) и здесь (http://support.microsoft.com/kb/310994) - скачайте установочный файл для своей ОС (например Windows XP с пакетом обновления 2 (SP2) (http://support.microsoft.com/kb/310994#) - для Windows XP SP3 использовать этот же файл) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix и установите Microsoft Recovery Console. Доп. см. Программа для Windows XP Professional с пакетом обновления 2 (SP2): Установочные диски для установки с гибкого диска (http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=535d248d-5e10-49b5-b80c-0a0205368124).
После установки консоли восстановления программа предложит запустить сканирование, подтвердите, нажав Yes.
Когда процесс сканирования завершится, скопируйте (Ctrl+A, Ctrl+C) текст из C:\ComboFix.txt и вставьте (Ctrl+V) в следующее сообщение если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Внимание! Перед запуском сканирования обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix и не нажимайте кнопки мыши. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер.
Как использовать ComboFix - how-to-use-combofix (http://www.bleepingcomputer.com/combofix/how-to-use-combofix) (на англ.яз.) и здесь (http://www.spyware-ru.com/combofix/) (на русском)

Скачайте OTListIt2 (http://oldtimer.geekstogo.com/OTListIt2.exe), сохраните на рабочий стол и запустите, поставьте галочку Scan All Users, LOP Check, Purity Check и в Extra Registry - Use Safe list. Нажмите Run Scan, когда закончится процесс сканирования, откроются два файла OTListIt.Txt и Extras.txt , скопируйте (Ctrl+A, Ctrl+C) текст из этих файлов и вставьте (Ctrl+V) в следующее сообщение, если текст не уместится в одном сообщении, продолжите его в следующем или запакуйте полученные логи C:\OTListIt.Txt и C:\Extras.txt и прикрепите к сообщению.

[AndreW82]

Pili, здравствуйте!
С помощью cureit и AVPTool проверку проводили? AVZM не включен, хотя в правилах об этом есть. »
C помощью CureIt и AVPTool проверял только Documents and Settings, Windows, Temp, Recycler и $recycle.bin на обоих дисках...
Про AVZM, каюсь, забыл...
MBAM не запускается - ошибка "Failed to load control 'vbalGrid'..."
Остальные логи прикрепил.

ЗЫ: удалось, выйти в Интернет с проблемной машины - вручную вписал настройки TcpIp в реестре...

[Pili]

AndreW82, где рез-ты проверки файлов?
По логу combofix у вас не сошлись сигнатуры системных файлов, проверьте на virustotal дополнительно файлы
c:\windows\system32\svchost.exe
c:\windows\system32\user32.dll
c:\windows\system32\ws2_32.dll
c:\windows\system32\ntkrnlpa.exe
c:\windows\system32\spoolsv.exe

м.б. файловый вирус, проверьте также
C:\WINDOWS\system32\DRIVERS\XPVCOM.sys
C:\Apps\VB_Projects\BT_ECG\Server\111test\TeleECGServer.exe
Если файлы окажутся чистыми, то проблема вероятно не в вирусах, т.к. по логам net-worm.kido не видно
Рекомендую проверить с помощью CureIt и AVPTool полностью, вероятно придется делать восстановления системных файлов с помощью sfc /scannow или установить windows в реж. восстановления и установить официальный WindowsXP SP3 (http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4) и все последующие обновления - http://windowsupdate.microsoft.com
У вас установлено несколько антивирусов (не сканеров)?
C:\Program Files\CA\
C:\Program Files\ESET\
C:\PROGRA~1\Symantec\
плюс ещё C:\Program Files\Lavasoft\
Оставьте один (а лучше и его временно деинсталлируйте), после чего попробуйте ещё раз скачать и запустить МВАМ

Скачайте Gmer (http://www.gmer.net/gmer.zip), запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
Скачайте DDS (http://download.bleepingcomputer.com/sUBs/dds.scr) и сохраните на рабочий стол, отключите антивирус и запустите dds.scr, когда сканирование закончится, скопируйте текст из файлов DDS.txt и Attach.txt в сообщение или запакуйте файлы и вложите в сообщение.

[AndreW82]

где рез-ты проверки файлов? »
там все чисто, поэтому и не стал ничего писать...
По логу combofix у вас не сошлись сигнатуры системных файлов, проверьте на virustotal дополнительно файлы »
чисто
C:\WINDOWS\system32\DRIVERS\XPVCOM.sys
C:\Apps\VB_Projects\BT_ECG\Server\111test\TeleECGServer.exe »
TeleECGServer - это вообще моя программа-сервер (слушает определенные порты, видимо поэтому и подозрительная) :)
проверил чисто :)
вероятно придется делать восстановления системных файлов с помощью sfc /scannow »
делал вчера - не помогло
установить windows в реж. восстановления »
Установленные программы в этом случае слетают или нет? (просто не приходилось таким образом переустанавливать)
C:\Program Files\CA\ »
тут ключик лицензии к одной проге лежит
C:\Program Files\ESET\ »
собственно чем я пользуюсь для защиты от зверей
C:\PROGRA~1\Symantec\ »
папки такой уже нету - видимо мусор в реестре
плюс ещё C:\Program Files\Lavasoft\ »
юзал пару раз для поиска зверей (служба монитора не запущена), удалить сейчас не могу, т.к. не работают жизненно необходимые службы », в том числе и Windows Installer
Скачайте Gmer, запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
Скачайте DDS и сохраните на рабочий стол, отключите антивирус и запустите dds.scr, когда сканирование закончится, скопируйте текст из файлов DDS.txt и Attach.txt в сообщение или запакуйте файлы и вложите в сообщение. »
Щас сделаю и логи сюда прикреплю...
Если файлы окажутся чистыми, то проблема вероятно не в вирусах, т.к. по логам net-worm.kido не видно »
похоже, что сейчас вирусов нет, но не могло же вот это просто так появиться вылезло уведомление типа "... каталог \Windows\system32 поврежден и не может быть прочитан..." »

[Pili]

уведомление типа "... каталог \Windows\system32 поврежден и не может быть прочитан.. »
это м.б. и не связано с вирусами, если например винчестер сбойный
тут ключик лицензии к одной проге лежит »
Обычно папка C:\Program Files\CA\ принадлежит eTrust Internet Security Suite
Цитата Pili:
C:\PROGRA~1\Symantec\ »
папки такой уже нету - видимо мусор в реестре »
возможно, чистите реестр, см. также Чистка системы после некорректного удаления антивируса (http://virusnet.info/forum/showthread.php?t=58), Инструкции и утилиты для полного удаления остатков антивирусных ... (http://virusinfo.info/showthread.php?t=16646)
делал вчера - не помогло »
или установить windows в реж. восстановления и установить официальный WindowsXP SP3 и все последующие обновления - http://windowsupdate.microsoft.com »
тоже пробовали?
Сохраните текст ниже как fix.reg и примените
REGEDIT4

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{08393a71-c34c-11da-83c4-9cdf8b0ed9ea}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{beb68be2-3a9a-11dc-ada5-00112f7be7cf}]
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{dbf203b0-5a40-11dc-aded-00112f7be7cf}]

Если файлы проверили и они чистые, по логам больше не к чему придраться (не видно ни kido ни остальных зловредов)
Обновите Java Runtime Environment (JRE) (http://java.sun.com/javase/downloads/index.jsp) можете обновить, WindowBlinds и остальные "украшательства" рекомендую удалить
Можете ещё провериться другими антивирусами см. в подписи, напр. с помощью F-Secure Online Scanner (http://support.f-secure.com/enu/home/ols.shtml), ESET Online Scanner (http://www.eset.eu/online-scanner), TrendMicro™ HouseCall Java Scan (http://www.trendmicro.com/hc_intro/default.asp)
Если вы подозреваете, что у вас всё же есть kido, см.
Как бороться с сетевым червем Net-Worm.Win32.Kido (http://support.kaspersky.ru/faq/?qid=208636215)
Утилита от bitdefender (http://www.bitdefender.com/site/Downloads/downloadFile/1583/FreeRemovalTool) - скачайте, распакуйте файл и запустите, нажмите "Scan", если утилита ничего не найдет, появится сообщение "System clean"
Утилита от Symantec (http://www.symantec.com/business/security_response/writeup.jsp?docid=2009-011316-0247-99) - Download Removal Tool (http://www.symantec.com/content/en/us/global/removal_tool/threat_writeups/FixDownadup.exe)
Утилита от F-Secure (http://www.f-secure.com/v-descs/worm_w32_downadup_al.shtml) - Download f-downadup.zip (ftp://ftp.f-secure.com/anti-virus/tools/beta/f-downadup.zip)
Краткое описание и инструкция по удалению от Microsoft (http://support.microsoft.com/kb/962007/ru)
Утилита KidoKiller (http://forum.kaspersky.com/index.php?showtopic=101154)

Рекомендую также отключить автозапуск (http://forum.oszone.net/showpost.php?p=825101)
Скопируйте приведенный ниже текст в блокнот и сохраните файл как noautorun.reg, примените.
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom]
"AutoRun"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]
@="@SYS:DoesNotExist"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers\CancelAutopla y\Files]
"*.*"=""

Скачайте Flash Drive Disinfector (http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe) и запустите утилиту (не забудьте подключить флешки и/или другие съемные носители) - утилита создает на дисках папки с именем autorun.inf (папка будет содержать файл lpt3.this folder was created by flash_disinfector), это предотвратит запись на диски и съемные носители файлов autorun.inf

[okshef]

сохраните файл как noautorun.reg, примените. » А можно то же самое в виде скрипта - а то в случае "Запрета редактирования реестра администратором" применение твиков невозможно.

[AndreW82]

или установить windows в реж. восстановления и установить официальный WindowsXP SP3 и все последующие обновления - http://windowsupdate.microsoft.com »
пропустив через моск несколько мегабайт текста с этого форума, других форумов и сайта поддержки мелкомягких, решение проблемы без переустановки ОС так и не было найдено...
Сейчас ставлю винду в режиме восстановления... Результаты отпишу...

[AndreW82]

Pili, спасибо!
Помогла переустановка в режиме восстановления.
Пришлось поковыряться с драйвером видео (загружалась с темным экраном в обычном режиме).
Сейчас долго загружается панель задач. В логах почему-то пусто, хотя служба журнала событий запущена...
Нужно дальше ковыряться, SP3 накатить и обновления с сайта мелкомягких...
Ещё раз спасибо! :)

ЗЫ: ...переустановил антивирь, почистил реестр от ненужных драйверов, установил SP3 - вроде нормально стал грузиться... Но не стартуют кое-какие сервисы от National Instruments - будем ковырять дальше...
ЗЗЫ: ...щас обновляюсь с windowsupdate... :)

[Pili]

А можно то же самое в виде скрипта - а то в случае "Запрета редактирования реестра администратором" применение твиков невозможно. »
Для этого в AVZ есть Восстановление системы - п.17
Помогла переустановка в режиме восстановления. »
Да, д.б. восстановится сист. службы и файлы, сбросится параметры безопасности на default.
Рад что проблема решилась.
Деинсталлируйте ComboFix: нажмите пуск – выполнить - Combofix /u
Скачайте OTCleanIt (http://download.bleepingcomputer.com/oldtimer/OTCleanIt.exe), запустите, нажмите CleanUp!
Для предотвращения заражения, рекомендую не работать за компьютером с правами администратора, не использовать Internet Explorer или отключить в нем ActiveX, использовать DropMyRights (http://download.microsoft.com/download/f/2/e/f2e49491-efde-4bca-9057-adc89c476ed4/DropMyRights.msi) см. здесь (http://saule.sporaw.ru/library/droprights.html) и здесь (http://virusinfo.info/showthread.php?t=2852) или SanboxIE (http://www.sandboxie.com), пользоваться браузером Opera или Firefox (http://www.mozilla-europe.org/ru/firefox/) c плагином NoScript (https://addons.mozilla.org/firefox/addon/722) и AdBlock Plus (https://addons.mozilla.org/ru/firefox/addon/1865)
Регулярно устанавливаете обновления - http://windowsupdate.microsoft.com и обновляйте антивирусные базы

Дополнительно можете протестировать и настроить безопасность с помощью Belarc Advisor (http://www.belarc.com/free_download.html) доп. см. здесь (http://virusinfo.info/showthread.php?t=19517)
Советую прочитать
Безопасный Интернет. Универсальная защита для Windows ME - Vista (http://security-advisory.ru/),
Базовая концепция системы безопасности ОС Windows семейства NT (http://forum.freesoft.ru/index.php?showtopic=1274)
Чистого вам интернета!