[решено] Все три машины в сети заражены одной и той же нечестью - нужна помощь

[zirreX]

Запакуйте папку C:\Qoobox\Quarantine\ с паролем virus и отправьте при помощи формы http://www.oszone.net/virusnet/

Попробуйте загрузиться в безопасном режиме.


Если не получится загрузиться, проделайте это.

1)Определим причину возникновения ошибки, включим запись малого дампа памяти.

Компьютер -- Свойства -- Дополнительные параметры системы -- Загрузка и восстановление -- Параметры, убрать галочку с "Выполнить автоматическую перезагрузку".

Там же в Запись отладочной информации выберите Малый дамп памяти -- ok

После очередной неудачной попытки загрузиться в Safe Mode, файл дампа будет сохранен в папке указанной в поле Файл дампа памяти
Загружаетесь в обычном режиме, в папке C:\Windows\Minidump должен быть файл Mini120210-01.dmp, запакуйте и прикрепите к сообщению.


2)Проверьте целостность системных файлов.
Запустите командую строку от имени администратора, введите sfc /scannow

[moonis]

Файл карантина весит 50 мб - не пинимает форма.
вай...он cureit запихал в карантин щас удалю и отошлю
пытаюсь изменить настройкиКомпьютер -- Свойства -- Дополнительные параметры системы -- Загрузка и восстановление -- Параметры, убрать галочку с "Выполнить автоматическую перезагрузку". »
но после нажатия "ок" - все слетает на старые настройки!... не хочет сохранять изменения: в БР не запускается, последний файл дампа памяти 25 11 2010.
проверку сделал: в корне C появилось inetpub\custerr\ru-RU\500-100.asp

[zirreX]

пытаюсь изменить настройки »
какие там настройки по умолчанию?

При выборе загрузки в безопасном режиме отключите автоматическую перезагрузку при отказе системы.
После возникновении ошибки при загрузке в Safe Mode появится синий экран, запишите код ошибки и приведите его в сообщении.

Последний дамп файл прикрепите.

[moonis]

изменить настройки с этих на те что вы привели в пред. сообщении я не могу - не сохраняются изменения, в т.ч. и убрать автоматическую перезагрузку при отказе системы.
выбор "отключить автоматическую перезагрузку" при загрузке ОС через F8 тоже не дает результатов: синий экран не появляется, дамп не сохраняется.
Сегодня опять появились признаки заражения: архивы и exe по всему диску D.
Последний дамп что имеется прикрепляю.

[zirreX]

выбор "отключить автоматическую перезагрузку" при загрузке ОС через F8 тоже не дает результатов: синий экран не появляется »
Отключим автоматическую перезагрузку через реестр, скачайте архив, распакуйте и запустите рег-файл. При появлении синего экрана код ошибки запишите.

Сегодня опять появились признаки заражения: архивы и exe по всему диску D. »
Отключитесь от интернета и локальной сети!!! Запустите полное сканирование в Kaspersky Internet Security, удалите найденные объекты!После чего подготовьте лог ComboFix

[moonis]

Fedin,
всеравно уходит в ребут не показывая bsod
причем как при
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
"AutoReboot"=dword:00000001
так и при
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
"AutoReboot"=dword:00000000
от сети отрубился физически
проверил AVP
лог ComboFix прилагаю

[zirreX]

Отключите восстановление системы!
- нажмите кнопку Пуск
- нажмите правой кнопкой мыши на пункте меню Компьютер
- в контекстном меню выберите пункт Свойства
- в левой части окна Система выберите пункт меню Защита системы
- в окне Свойства системы перейдите на закладку Защита системы
- в блоке Параметры защиты нажмите на кнопку Настроить
- в окне Защита системы для... отметьте пункт Отключить систему защиты
- нажмите кнопку ОК
- в окне подтверждения Защита системы нажмите кнопку Да
- для завершения отключения возможности восстановления системы в окне Свойства системы нажмите кнопку ОК
- перезагрузите компьютер


Скачайте OTM by OldTimer (http://oldtimer.geekstogo.com/OTM.exe) или с зеркала (http://virusnet.info/forum/downloads.php?do=file&id=21&act=down) и сохраните на рабочий стол.
Запустите OTM (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Выделите и скопируйте текст ниже (Ctrl+C)

:Processes
explorer.exe

:Services

:Files
c:\documents and settings\poluaktov\Application Data\64dlls.exe
c:\documents and settings\poluaktov\Application Data\intel64.exe
c:\documents and settings\poluaktov\Application Data\Kernel32.exe
c:\documents and settings\poluaktov\Application Data\localsys64.exe
c:\documents and settings\poluaktov\Application Data\ntos.exe
c:\documents and settings\poluaktov\Application Data\oembios.exe
c:\documents and settings\poluaktov\Application Data\sdra64.exe
c:\documents and settings\poluaktov\Application Data\sdra73.exe
c:\documents and settings\poluaktov\Application Data\swin32.exe
c:\documents and settings\poluaktov\Application Data\twex.exe
c:\documents and settings\poluaktov\Application Data\twext.exe
c:\documents and settings\poluaktov\Application Data\wsnpoema.exe

:Reg

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

В OTM под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!".

Компьютер перезагрузится.

После перезагрузки откройте папку "C:\_OTM\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

[moonis]

сделал

[zirreX]

Зловредов больше не вижу.

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall(Обязательно должен быть пробел между combofix и /u), нажмите кнопку "ОК"
http://virusnet.info/images/combofix-uninstall.jpg

Скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe) или с зеркала (http://virusnet.info/forum/downloads.php?do=file&id=19&act=down), запустите, нажмите Clean up

Попробуйте еще раз восстановить безопасный режим скриптом AVZ

• Выполните скрипт AVZ
Перед выполнением скрипта отключите защитное ПО (антивирус, файрволл)

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".
begin
ExecuteRepair(10);
end.

Также проверьте диск на ошибки
В командной строке введите
chkdsk /f

Примените еще раз рег-файл отключающий автоматическую автозагрузку (Должен появится синий экран с кодом ошибки!!!)
Скопируйте текст ниже в текстовой файл и сохраните с расширением .reg, затем запустите и согласитесь с внесением информации в реестр.
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl]
"AutoReboot"=dword:00000000

[moonis]

всеравно уходит в авторебут....
Зловредов больше не вижу. »
я тоже перестал наблюдать признаки заражения, одноко, по всему проделанному остался один и самый, на мой взгляд, печальный нюанс: я не могу изменять системные настройки ктойто или чтойто блокирует все изменения... ни поставть значения в
Цитата Fedin:Компьютер -- Свойства -- Дополнительные параметры системы -- Загрузка и восстановление -- Параметры, убрать галочку с "Выполнить автоматическую перезагрузку". »
но после нажатия "ок" - все слетает на старые настройки!... не хочет сохранять изменения: в БР не запускается, последний файл дампа памяти 25 11 2010. »
ни например изменить параметры сети (отключить сетевое обнаружение, закрыть общий доступ и тп).
А сегодня столкнулся и с очень неудобным явлением: черт меня дернул изменить тип учетной записи - с администратора на обычный, изменить получилось а вот обратно фиг - те же симптомы нажимаешь "ок", а изменения не сохраняются и так по всем системным настройкам включая манипуляции с восстановлением системный и тп... пришлось загружаться с болванки и откатывать состояние на 2ое суток назад...

походу все же придется сносить ОС... в таком случае как подстраховаться чтобы зверья не было на "storage" диске с доками, фильмами и прочим фуфлом?

[zirreX]

moonis, не стоит переустанавливать ОС, обратитесь в раздел Устранение критических ошибок Windows (http://www.forum.oszone.net/forum-73.html), там вам ответят.

[moonis]

zirreX,
Кстати при изменении через реестр галочка "автоперезагрузка" снялась и по идее она отключена...
http://s58.radikal.ru/i159/1012/4c/e4551d2d0b85.jpg

[zirreX]

Кстати при изменении через реестр галочка "автоперезагрузка" снялась и по идее она отключена... »
Да, мы отключили перезагрузку через реестр, тем самым принудительно убрали галку. А то что не сохраняются изменения, это вина вашей сборки Windows 7.

[moonis]

это вина вашей сборки Windows 7. »
?с чего вдруг?) ведь раньше все нормально было!) и менялось и сохранялось ведь как то же я менял настройки сети и тп согласитесь? а сейчас все изменения блокируется)

[zirreX]

После отката на 2 дня назад настройки не сохраняются?

[moonis]

zirreX,
не сохраняются

[zirreX]

Все изменения проводили из под учетной записи администратора?

[moonis]

zirreX,
так точно

[zirreX]

Создайте новую учетную запись с правами администратора.
Войдите в систему из под новой учетной записи.

Проверьте, изменения сохраняются?

[moonis]

через учетные записи пользователей изменения не сохраняются: не создаются записи, не изменяется тип записи
через управление компьютером создал учетную запись, добавил членство в группе "администраторы", но под ней изменения также не сохраняются...