Войти

Показать полную графическую версию : Перестали открываться exe-файлы

MadMax1982
26-02-2011, 08:54
Ни с того, ни с сего перестали открываться exe-файлы, а именно файлы DOS-программ, остальные запускаются. Проверка на вирусы ничего не показала, может даже и вирус не виноват, на всякий случай выкладываю логи.
goredey
26-02-2011, 11:23
MadMax1982, AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\temp\clhexayv.sys','');
DeleteFile('c:\temp\clhexayv.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.


В результате выполнения скрипта будет сформирован карантин quarantine.zip. Полученный архив отправьте по этой форме (http://www.oszone.net/virusnet)

Пофиксить в HijackThis следующие строчки
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: (no name) - DctMapping - (no file)
O9 - Extra button: (no name) - AutorunsDisabled - (no file) (HKCU)
O24 - Desktop Component 0: (no name) - (no file)

Проверьте на вирустотал (http://www.virustotal.com/) этот файл
c:\program files\toolbho\module.dll
Ссылку на результат запостите здесь!


Повторите логи
+

Скачайте RSIT (http://images.malwareremoval.com/random/RSIT.exe) или отсюда (http://virusnet.info/forum/downloads.php?do=file&id=4&act=down). Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
+


Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) . Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. (http://www.malwarebytes.org/mbam/database/mbam-rules.exe)
MadMax1982
28-02-2011, 04:55
1. Файл quarantine.zip отправил
2. Ссылка Вирустотал - http://www.virustotal.com/file-scan/reanalysis.html?id=3fd5f21786f599a34c742776c7bd5444ffd8d5c20ae7ad0e7161de128c3a5c3e-1298857598
3. Логи прицепил
4. Сообщение MBAM

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Database version: 5750

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

28.02.2011 9:22:36
mbam-log-2011-02-28 (09-22-12).txt

Scan type: Full scan (C:\|D:\|F:\|H:\|)
Objects scanned: 265063
Time elapsed: 16 minute(s), 47 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 9
Registry Values Infected: 0
Registry Data Items Infected: 1
Folders Infected: 1
Files Infected: 13

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
HKEY_CLASSES_ROOT\CLSID\{F0E06662-71F5-4fb0-A9A2-70DBA996EAC3} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{4ECB0173-D952-42C3-802A-E3B04E5AD127} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{CAFDA1CA-DD5F-41DC-BE5D-9E06E01E510C} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\LinkPlacing.LPBHOImpl.1 (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\LinkPlacing.LPBHOImpl (Adware.LinkPlacing) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F0E06662-71F5-4FB0-A9A2-70DBA996EAC3} (Adware.LinkPlacing) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0E06662-71F5-4FB0-A9A2-70DBA996EAC3} (Adware.LinkPlacing) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0E06662-71F5-4FB0-A9A2-70DBA996EAC3} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\AppID\LinkPlacing.DLL (Adware.LinkPlacing) -> No action taken.

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogoff (PUM.Hijack.StartMenu) -> Bad: (1) Good: (0) -> No action taken.

Folders Infected:
c:\documents and settings\User\application data\winxrar (Trojan.Agent) -> No action taken.

Files Infected:
c:\program files\ToolBHO\module.dll (Adware.LinkPlacing) -> No action taken.
c:\WINDOWS\system32\green fields 3d.scr (Malware.Packer.Gen) -> No action taken.
d:\Distr\site\wsex5files\keygen website x5 rus.exe (Trojan.Dropper.PGen) -> No action taken.
d:\мои документы\Проги\norton windoctor\Stubs\1727fadf1eabcb14d58c4ee39ebd78bacfe10ea\REGWDOC.EXE (Trojan.Backdoor) -> No action taken.
d:\мои документы\Проги\norton windoctor\Stubs\c4dedf3f4df0882dd06f93ca88316ea38192dce0\windoc.exe (Trojan.Backdoor) -> No action taken.
d:\мои документы\Проги\norton windoctor\Stubs\dbfaa46b6d7e2fdb8e943531ec634229cdd6ab19\SymUndo.exe (Trojan.Backdoor) -> No action taken.
c:\documents and settings\User\application data\winxrar\dot.gif (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\htmlayout.dll (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\key (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\left.png (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\rules.css (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\s.htm (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\sview (Trojan.Agent) -> No action taken.

Все, что нашел MBAM - убил. Надо было?
goredey
01-03-2011, 13:29
MadMax1982, удалите в МВАМ

Registry Keys Infected:
HKEY_CLASSES_ROOT\CLSID\{F0E06662-71F5-4fb0-A9A2-70DBA996EAC3} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{4ECB0173-D952-42C3-802A-E3B04E5AD127} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{CAFDA1CA-DD5F-41DC-BE5D-9E06E01E510C} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\LinkPlacing.LPBHOImpl.1 (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\LinkPlacing.LPBHOImpl (Adware.LinkPlacing) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F0E06662-71F5-4FB0-A9A2-70DBA996EAC3} (Adware.LinkPlacing) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0E06662-71F5-4FB0-A9A2-70DBA996EAC3} (Adware.LinkPlacing) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0E06662-71F5-4FB0-A9A2-70DBA996EAC3} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\AppID\LinkPlacing.DLL (Adware.LinkPlacing) -> No action taken.

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\StartMenuLogoff (PUM.Hijack.StartMenu) -> Bad: (1) Good: (0) -> No action taken.

Folders Infected:
c:\documents and settings\User\application data\winxrar (Trojan.Agent) -> No action taken.

Files Infected:
c:\program files\ToolBHO\module.dll (Adware.LinkPlacing) -> No action taken.

d:\мои документы\Проги\norton windoctor\Stubs\1727fadf1eabcb14d58c4ee39ebd78bacfe10ea\REGWDOC.EXE (Trojan.Backdoor) -> No action taken.
d:\мои документы\Проги\norton windoctor\Stubs\c4dedf3f4df0882dd06f93ca88316ea38192dce0\windoc.exe (Trojan.Backdoor) -> No action taken.
d:\мои документы\Проги\norton windoctor\Stubs\dbfaa46b6d7e2fdb8e943531ec634229cdd6ab19\SymUndo.exe (Trojan.Backdoor) -> No action taken.
c:\documents and settings\User\application data\winxrar\dot.gif (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\htmlayout.dll (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\key (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\left.png (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\rules.css (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\s.htm (Trojan.Agent) -> No action taken.
c:\documents and settings\User\application data\winxrar\sview (Trojan.Agent) -> No action taken.

Смните все ваши пароли!


Пофиксить в HijackThis следующие строчки
O24 - Desktop Component 0: (no name) - (no file)


Что с проблемой?
MadMax1982
02-03-2011, 02:15
goredey, все удалил, в HijackThis строчку пофиксил, но она не исчезла после повторного сканирования.

Проблема не исправилась. Что делать?
SolarSpark
02-03-2011, 07:43
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
begin
ExecuteRepair(1);
RebootWindows(true);
end.

Если ассоциации не восстановятся, выполните твик реестра. скопируйте этот код в блокнот, сохраните под любым именем с расширением .reg
Кликните по файлу и подтвердите добавление в реестр.

Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\.exe]
@="exefile"
"Content Type"="application/x-msdownload"

[HKEY_CLASSES_ROOT\.exe\PersistentHandler]
@="{098f2470-bae0-11cd-b579-08002b30bfeb}"

[HKEY_CLASSES_ROOT\exefile]
@="Application"
"EditFlags"=hex:38,07,00,00
"TileInfo"="prop:FileDescription;Company;FileVersion"
"InfoTip"="prop:FileDescription;Company;FileVersion;Create;Size"

[HKEY_CLASSES_ROOT\exefile\DefaultIcon]
@="%1"

[HKEY_CLASSES_ROOT\exefile\shell]

[HKEY_CLASSES_ROOT\exefile\shell\open]
"EditFlags"=hex:00,00,00,00

[HKEY_CLASSES_ROOT\exefile\shell\open\command]
@="\"%1\" %*"

[HKEY_CLASSES_ROOT\exefile\shell\runas]

[HKEY_CLASSES_ROOT\exefile\shell\runas\command]
@="\"%1\" %*"

[HKEY_CLASSES_ROOT\exefile\shellex]

[HKEY_CLASSES_ROOT\exefile\shellex\DropHandler]
@="{86C86720-42A0-1069-A2E8-08002B30309D}"

[HKEY_CLASSES_ROOT\exefile\shellex\PropertySheetHandlers]

[HKEY_CLASSES_ROOT\exefile\shellex\PropertySheetHandlers\PEAnalyser]
@="{09A63660-16F9-11d0-B1DF-004F56001CA7}"

[HKEY_CLASSES_ROOT\exefile\shellex\PropertySheetHandlers\PifProps]
@="{86F19A00-42A0-1069-A2E9-08002B30309D}"

[HKEY_CLASSES_ROOT\exefile\shellex\PropertySheetHandlers\ShimLayer Property Page]
@="{513D916F-2A8E-4F51-AEAB-0CBC76FB1AF8}"
Katharsis
02-03-2011, 15:19
лог mbam повторите
MadMax1982
03-03-2011, 04:38
Все сделал, ничего не поменялось
Лог MBAM:
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Версия базы данных: 5750

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

03.03.2011 11:33:53
mbam-log-2011-03-03 (11-33-48).txt

Тип сканирования: Полное сканирование (C:\|D:\|F:\|)
Просканированные объекты: 264848
Времени прошло: 16 минут, 11 секунд

Заражённые процессы в памяти: 0
Заражённые модули в памяти: 0
Заражённые ключи в реестре: 0
Заражённые параметры в реестре: 0
Объекты реестра заражены: 0
Заражённые папки: 0
Заражённые файлы: 3

Заражённые процессы в памяти:
(Вредоносных программ не обнаружено)

Заражённые модули в памяти:
(Вредоносных программ не обнаружено)

Заражённые ключи в реестре:
(Вредоносных программ не обнаружено)

Заражённые параметры в реестре:
(Вредоносных программ не обнаружено)

Объекты реестра заражены:
(Вредоносных программ не обнаружено)

Заражённые папки:
(Вредоносных программ не обнаружено)

Заражённые файлы:
d:\Distr\Office\pdf\adobe acrobat 8 professional\keygen_zwt_adobe_acrobat_8_professional.exe (Backdoor.Bot) -> No action taken.
d:\Distr\Office\pdf\adobe acrobat 8 professional\аctivate.exe (Trojan.Downloader) -> No action taken.
d:\мои документы\Проги\norton windoctor\Stubs\dbfaa46b6d7e2fdb8e943531ec634229cdd6ab19\SymUndo.exe (Trojan.Backdoor) -> No action taken.
Katharsis
04-03-2011, 12:54
перестали открываться exe-файлы, а именно файлы DOS-программ »
Так что именно у вас не открывается?
восстановление файловых ассоциаций (http://safezone.cc/forum/showthread.php?t=57)
goredey
04-03-2011, 13:08
Цитата:Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

Подробнее в "ComboFix. Руководство по применению." (http://virusnet.info/forum/showthread.php?t=2773)
MadMax1982
09-03-2011, 06:17
Katharsis , открываются именно файлы, созданные для работы в MS-DOS (старая программа, написанная в конце 80-х годов) с расширением exe. Другие файлы с таким же расширением открываются.
Забыл указать, что при попытке запуска файла появляется сообщение: Отказано в доступе к указанному устройству, пути или файлу. Возможно, у вас нет нужных прав доступа к этому объекту . Также добавлю, что на компьютере я являюсь единственным администратором, пользователем, имею полные права.

goredey , лог ComboFix прицепил
goredey
09-03-2011, 08:34
MadMax1982, Цитата:Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

RegLock::

[HKEY_USERS\S-1-5-21-789336058-1425521274-1606980848-1004\Software\Microsoft\SystemCertificates\AddressBook*]

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://virusnet.info/images/cfscript.gif
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Также проверьте на здесь (http://www.virustotal.com/) этот файл
c:\windows\regedit.exe ссылку на результат запостите здесь
MadMax1982
10-03-2011, 03:26
ComboFix.txt прикрепил
во время выполнения ComboFix после строки Completed Stage 2 вылетело окошко с ошибкой:

Заголовок - "PEV.cfxxe - Ошибка приложения"
Сообщение - "Исключение неизвестное программное исключение (0хс0000417) в приложении по адресу 0х00482899", после нажатия на ОК все пошло дальше. Это нормально?

Ссылка проверки c:\windows\regedit.exe - http://www.virustotal.com/file-scan/reanalysis.html?id=3b9715b31c38b331241e49c0749498a681fc371d7f5983c961222f6c872e8467-1299716413
goredey
10-03-2011, 19:21
MadMax1982, отключите антивирус и повторите скрипт
MadMax1982
11-03-2011, 05:51
goredey , пардон, иногда мы с Др Вэбом друг друга не понимаем... прикрепил файл



© OSzone.net 2001-2012