Вирус на Windows 7, поражающий графическую подсистему

[reise]

Пользуюсь Debian'ом, на VirtualBox стоит Win7 только для экзотических программ. Умудрился подцепить странный вирус, который угробил графическую подсистему - экран использует ограниченную цветовую палитру, в связи с чем получаю такую картину:
http://s59.radikal.ru/i166/1112/a2/fe2c8eec9fc2.png
Прогнал нодом с новыми базами, cureit'ом - что-то понаходило (кто бы сомневался :)) но после перезагрузки та же картина.

Куда копать, как избавится от вируса?
Переустанавливать виндовс не вариант, работает много нужного софта, привязанного лицензиями к именно к этому виндовсу.
П.С. То, что это именно вирус - сомнений нет, потому что во-первых виндовс стоит на виртуальной машине и с графикой в линуксе все в порядке, во-вторых сабж возник мгновенно после активного юзания ИЕ.

Буду благодарен любым советам по решению проблемы.

[SolarSpark]

логи?

[okshef]

reise, скриншот под спойлер уберите (тэг скрытого текста) или оставьте только ссылку. Почему?
Правила - п.3.9 (http://forum.oszone.net/rules.html#3.9)

[reise]

SolarSpark, какиу нужны логи?
okshef, сделал, спасибо.

[SolarSpark]

Выполните рекомендации (http://forum.oszone.net/thread-98169.html) полученные логи: virusinfo_syscure.zip, virusinfo_syscheck.zip, log.txt, info.txt прикрепите к своей теме.

У вас повтор темы на киберфоруме, выберете форум для лечения

[reise]

Выполните рекомендации полученные логи: virusinfo_syscure.zip, virusinfo_syscheck.zip, log.txt, info.txt прикрепите к своей теме. »
Ок, сейчас этим займусь.

У вас повтор темы на киберфоруме, выберете форум для лечения »
Да, я в курсе. А что это запрещено? Я создал на нескольких форумах в надежде, что хоть где-то помогут.

[reise]

Диагностика 1. Запустите RSIT, выберите проверку файлов за последние три месяца и нажмите Продолжить (подробнее) После чего программа автоматически скачает утилиту HijackThis из сети интернет и создаст два лога log.txt и info.txt. По умолчанию они сохраняются в одноименной папке (RSIT) в корне системного диска.
Это уже сделал, прикрепляю логи и продолжаю...

[reise]

2.1 Запустите AVZ, выберите в меню "Файл"=>"Стандартные скрипты" и поставьте галочку напротив скрипта №3. Нажмите "Выполнить отмеченные скрипты". Будет выполнено автоматическое сканирование, лечение и исследование системы, полученный лог avz_sysinfo.htm будет сохранен в директории AVZ в папке "LOG" в архиве virusinfo_syscure.zip.
Этот пункт выполнил, прикрепляю лог.

[reise]

2.2 После перезагрузки снова запустите AVZ, выберите в меню "Файл"=>"Стандартные скрипты" и поставьте галку напротив скрипта №2. Нажмите "Выполнить отмеченные скрипты". Будет выполнено автоматическое исследование системы, полученный лог avz_sysinfo.htm будет сохранен в директории AVZ в папке "LOG" в архиве virusinfo_syscheck.zip.
И это выполнил. Прикрепляю лог.

[reise]

Все логи готовы, надеюсь на помощь. Заранее спасибо.

[SolarSpark]

VirtualBox предоставляет возможность делать снимки состояния системы, то есть точки восстановления. Вы такие делали? Откат пробовали?
никаких супер программ с привязкой к лицензии я не вижу))

Обновите Internet Explorer до IE9 (http://windows.microsoft.com/ru-RU/internet-explorer/downloads/ie)

Отключите:
Антивирус/Файерволл

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.


begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\Temp\TS_1628.tmp','');
QuarantineFile('C:\Windows\Temp\TS_FA2C.tmp','');
DeleteFile('C:\Windows\Temp\TS_1628.tmp');
DeleteFile('C:\Windows\Temp\TS_FA2C.tmp');
ExecuteWizard('SCU',2,3,true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.



После выполнения скрипта компьютер перезагрузится!


Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению." (http://safezone.cc/forum/showthread.php?t=2773)


Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. http://data.mbamupdates.com/tools/mbam-rules.exe Загрузить обновление MBAM

[reise]

VirtualBox предоставляет возможность делать снимки состояния системы, то есть точки восстановления. Вы такие делали? »
Нет. Даже не знал об этом, не заморачивался с этим.

никаких супер программ с привязкой к лицензии я не вижу)) »
это сео-софт: keycollector, content-downloader, jako dorgen pro, allsubmitter, trafficweb, page-weight и т.д.

Обновите Internet Explorer до IE9 »
ок, сделаю

Отключите:
Антивирус/Файерволл
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить. »
ок, пошел делать.

После выполнения скрипта компьютер перезагрузится! »
Скрипт не помог, единственное, что заметил компьютер относительно долго (минуты 2) остановился при перезагрузки на в том месте, где показывается логотип виндовс с надписью "запуск windows" - кстати в этот момент с цветами было все ок, градиенты были нормальные, а потом показался рабочий стол - и опять та же проблема - несколько цветов. Я честно говоря даже не знаю, где в windows 7 посмотреть сколько цветов отображается :)
Но явно мало - наверно не больше чем 256 :)

[Techno88]

Я честно говоря даже не знаю, где в windows 7 посмотреть сколько цветов отображается »
Правой кнопкой по рабочему столу->"Разрешение экрана"->"дополнительные параметры"->вкладка "Монитор"

[reise]

Правой кнопкой по рабочему столу->"Разрешение экрана"->"дополнительные параметры"->вкладка "Монитор" »
Да, я угадал :)
Качество цветопередачи 256 цветов :)

[Techno88]

Качество цветопередачи 256 цветов »
А другое выбрать никак?)))

[reise]

Вот сделал скриншот при загрузке - там все нормально с градиентами.
http://i078.radikal.ru/1112/8e/d5b5faec746a.png

А другое выбрать никак?))) »
никак (((
В списке только 1 пункт - 256 цветов.

[Techno88]

Драйвера то стоят? Попробуйте переустановить если стоят.

[SolarSpark]

reise, мы вообще то не лечим виртуалки, потому как делается откат на снимок до проблемы и все приходит в норму..
на вашей системе я не вижу активного вирусного заражения.
Techno88 прав, скорее всего, дело в драйверах

[reise]

Драйвера то стоят? Попробуйте переустановить если стоят. »
А их там и не надо. Это же виртуальная машина, все что было надо установилось по умолчанию и работало в нормальной цветовой гамме (32-битной) на протяжении уже нескольких месяцев без глюков.
Да и какие там драйвера, если там по умолчанию виртуальный адаптер VirtualBox Graphics Adapter.

мы вообще то не лечим виртуалки »
А что разве есть какое-то принципиальное отличие?

потому как делается откат на снимок до проблемы и все приходит в норму.. »
к сожалению у меня такого снимка нет.

на вашей системе я не вижу активного вирусного заражения. »
а как тогда прокомментировать нормальный скрин во всей красе со всеми градиентами в момент запуска и переключение на 256 цветов сразу после загрузки?
Еще раз показываю скрин в момент загрузки http://i078.radikal.ru/1112/8e/d5b5faec746a.png
А вот скрин сразу после загрузки http://s02.radikal.ru/i175/1112/04/017b73272a9f.png
Что это, если не вирус?

[Techno88]

Выключите компоненты интеграции, должна будет появиться возможность смены цветовой палитры.