Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   explorer.exe вызвало ошибку. А у меня Opera (http://forum.oszone.net/showthread.php?t=176657)

Serka! 26-05-2010 19:53 1421763
explorer.exe вызвало ошибку. А у меня Opera
 
Здравствуйте!
Заранее извиняюсь за возможную безграмотность: я совсем-совсем непродвинутый пользователь, возле компьютера почти неандерталец. Да еще писать почти невозможно: постоянно выскакивает окошко "explorer.exe вызвало ошибку и будет закрыто. Необходимо перезапустить программу. Создан журнал ошибок". На сайте microsoft.com в разделе Поддержка Windows 2000 (а у меня на компьютере Windows 2000 Professional) именно про такое окошко написано, что оно появляется тогда, когда установлен Internet Explorer 6, а базовое программное обеспечение более старое и надо удалить Internet Explorer 6 и поменять ее на более старую версию. У меня для выхода в Интернет установлена только Opera, соответственно выполнить рекомендованные действия в моем случае просто невозможно, к тому же эта ошибка появилась только в мае, а раньше я работала на тех же программах нормально. Но дело не только в назойливо появляющемся окошке, а также в том, что возникают сбои в работе электронной почты (то не получается прикрепить к письму файл из Word, то не открывается как положено полученнный по почте прикрепленный файл, сделанный в Exel, т.е. не открываются все страницы и нет даже ссылки на страницы, то при попытке зарегистрироваться на Вашем сайте мой адрес электронной почты распознавался как неверный и никак не удавалось связаться с Администрацией сайта по обозначенным на сайте путям и в итоге пришлось зарегистрироваться с новым ником), поначалу все выходила ссылка на неполадки Рабочего стола, потом и она перестала появляться, а Рабочий стол утерял красивую заставку.
По совету подруги (ник на Вашем сайте TINA) попыталась проделать все процедуры, которые описаны в теме "Вам нужна помощь? Нам нужны Ваши логи..." Скачала Curelt и запустила: он нашел 8 зараженных объектов, но нормальная работа компьютера не возобновилась. При попытке сделать Очистку временных файлов на лиске С очистка просто не происходила, т.е. не было даже намека на какие-то производимые действия, диск D хотя бы просканировался. Сторонняя утилита ATF Cleaner загрузилась и работала. AVP Tool сначала вообще не загружался, а потом не установился полностью и запустить автоматическое сканирование не удается, при загрузке появляется окошко " Runtime Error (at 65:990) could not call proc" , а при попытке запустить эту утилиту через Startup внутри скачанного файла вылезло окошко "startup.exe вызвало ошибку и будет закрыто. Необходимо перезапустить программу". AVZ и HijackThis тоже полностью не загружались, например, AVZ, как я поняла, загружается не полностью, т.к. при попытке обновления выдает "Ошибка в ходе автоматического обновления - Ошибка загрузки файла с описанием обновления avzupd.zip c http://www.z-oleg.com/secur/avz_up/[21,00000002], а не обновляясь, она, выполняя скрипты, не формирует необходимых файлов. AVZ и HejackThis для формирования требуемых логов использовала те, которые прислала мне по почте TINA, полностью ею обновленные и "подготовленные к употреблению".
Вот что из этого получилось.
Сейчас постараюсь прикрепить.
Еще раз извиняюсь за возможные неграмотные фрагменты изложения.
Подскажите мне пожалуйста мои дальнейшие действия по приведению компьютера в здоровое состояние.
Прикрепить пока не удается. Сейчас попробую еще

Serka! 26-05-2010 20:08 1421772
Вложений: 1
Кажется, один прикрепился

thyrex 26-05-2010 21:46 1421838
Где логи AVZ virusinfo_syscure.zip и virusinfo_syscheck.zip?

Serka! 26-05-2010 22:48 1421864
Кажется удалось. Не знаю, правильно ли сделала

Drongo 27-05-2010 12:25 1422128
Serka!, Привет. :)

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\recycler\s-1-5-21-4800971509-6303548437-026769309-2893\syscr.exe','');
 QuarantineFile('c:\winnt\system32\infocard.exe','');
 QuarantineFile('c:\winnt\system32\78.exe','');
 DeleteFile('c:\winnt\system32\78.exe');
 QuarantineFile('c:\winnt\system32\14.exe','');
 DeleteFile('c:\winnt\system32\14.exe');
 QuarantineFile('c:\winnt\system32\41.exe','');
 QuarantineFile('C:\WINNT\System32\x','');
 DeleteFile('C:\WINNT\System32\x');
 DeleteFile('c:\winnt\system32\41.exe');
 DeleteFile('c:\recycler\s-1-5-21-4800971509-6303548437-026769309-2893\syscr.exe');
 DeleteFile('c:\winnt\system32\infocard.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Framework module library');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Framework module library');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После всех процедур выполните скрипт
Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму. В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.


После чего выполните этот скрипт.

Код:
var j:integer; NumStr:string;
begin
for j:=0 to 999 do
 begin
    if j=0 then
        NumStr:='CurrentControlSet' else
        if j<10 then
            NumStr:='ControlSet00'+IntToStr(j) else
            if j<100 then
                NumStr:='ControlSet0'+IntToStr(j) else
                NumStr:='ControlSet'+IntToStr(j);
 if RegKeyExists('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
  begin
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
  end;
 if RegKeyExists('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
  begin
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
  end;
 end;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.

Serka! 27-05-2010 13:30 1422162
Спасибо Вам огромное!

Только я не знаю, получится ли у меня выполнить скрипты, которые самой вставлять надо. Попробую...

Serka! 27-05-2010 23:55 1422578
Вложений: 1
Выполнила все скрипты, которые велел Drongo. Написала запрос в лабораторию Касперского. Снова выполнила 3 и 2 скрипты AVZ , а также HejackThis

Drongo 28-05-2010 10:44 1422762
В логах ничего не заметил, а в папке AVZ у вас есть такой лог - fystemRoot.log - найдите и прикрепите его. Да, кстати, а что с проблемой?

Serka! 29-05-2010 11:21 1423453
Копирую ответ Лаборатории Касперского:


Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит антивирус с последними обновлениями. Письмо будет передано на рассмотрение вирусному аналитику.

14.exe,
41.exe,
78.exe

Вредоносный код в файлах не обнаружен.

С уважением, Лаборатория Касперского

123060, Россия, Москва, 1-й Волоколамский проезд дом 10, стр 1
Тел./факс: + 7 (495) 797 8700
http://www.kaspersky.ru http://www.viruslist.ru

Попробую найти файл fystemRoot.log

Проблема ведет себя непредсказуемо: позавчера окошко появлялось постоянно, сегодня пока не появлялось. AVZ так и не обновляет. Сегодня Eset Nod32 выдал сообщение, что один из файлов в папке AVZ4 содержит подозрительный код. К сожалению, я не записала какой и направила этот файл на анализ. Но развернутого описания поведения проблемы дать не могу, т.к. стараюсь до полного излечения компьютер по возможности не беспокоить и лезу в интернет только в случае крайней необходимости.

Drongo 29-05-2010 11:34 1423459
Цитата:
Цитата Serka!
Попробую найти файл fystemRoot.log »
Хорошо, будем ждать.

Serka! 29-05-2010 11:40 1423461
Файл FystemRoot у меня оказался пустой, когда его раскрываешь, чистый лист, когда подсвечиваешь - 0 байт.Возможно именно его и забраковал Eset Nod32, но я не уверена. Теперь жалею, что не записала.
А окошко с напоминанием об ошибке опять появляется, и довольно навязчиво...

Drongo 29-05-2010 11:44 1423465
Serka!, Тогда давайте пройдёмся этими утилитами.

• Скачайте ComboFix здесь, здесь или здесь и сохраните на рабочий стол.
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Как использовать ComboFix - how-to-use-combofix
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

• Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца (3 Month) и нажмите продолжить (Continue). Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

Serka! 29-05-2010 16:34 1423579
Вложений: 1
Combofix поработал. Попробую прикрепить файл

Drongo 29-05-2010 19:18 1423640
Serka!, Хорошо проработала утилита, как самочувствие компьютера после выполнения утилиты?

Serka! 29-05-2010 21:05 1423688
Вложений: 1
Прикрепляю файл, сформировавшийся RSIT. Он получился не сразу, т.к. в первый раз компьютер завис во время выполнения Listing of event logs или как-то так было написано в появившемся окошке с описанием процесса. Пришлось перезагрузить компьютер и снова запустить RSIT. Во время работы RSIT интернет был отключен, а Eset nod32 не отключала, т.к. Вы не написали это сделать. Если надо было отключить, то повторю как надо

Serka! 29-05-2010 21:12 1423691
После выполнения утилиты Combofix на рабочем столе появилась красивая картинка. Муж сказал, что эта та, которую он пытался последней установить после появления "беспорядка" на Рабочем столе, но она не устанавливалась, как впрочем и все остальные, потому что компьютер уже был серьезно болен.
Окошко про ошибку пока не появляется, но эта мина замедленного действия не сегда проявлялась сразу, поэтому я больше ни на какие сайты сегодня не заходила, кроме Вашего и не делала ничего, кроме того, что Вы указывали.
Жду дальнейших указаний.

Serka! 29-05-2010 21:17 1423693
Вложений: 1
Прикрепляю второй файл, сформировавшийся RSIT.

Drongo 29-05-2010 22:10 1423723
Serka!, Вот этот скрипт выполните и вроде всё.

• Скачайте OTM by OldTimer и сохраните на рабочий стол.
Запустите OTMoveIt3 (в ОС Windows Vista необходимо запускать через правую кн. мыши от имени администратора)
временно выключите антивирус, firewall и другое защитное программное обеспечение. Выделите и скопируйте текст ниже (Ctrl+C)
Код:
:Processes
explorer.exe

:Services

:Files
C:\WINNT\tasks\At1.job

:Reg

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]
В OTMoveIt3 под панелью "Paste Instructions for Items to be Moved" (под желтой панелью) вставьте скопированный текст и нажмите кнопку "MoveIt!". Выделите (Ctrl+A) и скопируйте (Ctrl+C) текст из окна под панелью "Results" (правая зеленая панель) в следующее сообщение.
Прим: Если файлы и папки не могут быть перемещены немедленно и появиться запись <deleted on reboot>, потребуется перезагрузка. После перезагрузки откройте папку "C:\_OTMoveIt\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

Serka! 29-05-2010 22:23 1423736
Пока смотрела другие темы на Вашем сайте, опять появилось злополучное окно с ошибкой и опять повторяется...
Пробую последние скрипты

Serka! 29-05-2010 22:39 1423744
Пока не удается даже скачать OTM by OldTimer. Вот, что выходит Warning: copy(./downloads/82068-OTM.zip) [function.copy]: failed to open stream: No such file or directory in [path]/downloads.php on line 704
ERROR: File not found.
Может я что-то делаю не так.
Попробую еще.

Serka! 29-05-2010 23:12 1423758
Попросила, чтобы TINA попробовала скачать. У нее тоже не получилось. И у меня после перезагрузки все равно не получается

Drongo 29-05-2010 23:23 1423765
Serka!, Опа, виноват. тогда выполните скрипт

Код:
begin
 DeleteFile('C:\WINNT\tasks\At1.job');
end.

Serka! 29-05-2010 23:36 1423772
А где его выполнить? Ну в смысле в какой программе?

Serka! 30-05-2010 11:07 1423881
Выполнила скрипт в AVZ. OTM by OldTimer не загружается. Проклятый информер "Ошибка программы" появляется постоянно и не дает даже сообщение написать, т.к. своим появлением он временно блокирует работу клавиатуры, еще и мешает быстрому переходу с русского на латинский шрифт и наоборот.

Drongo 30-05-2010 14:00 1423956
Serka!, Кроме Dr.Web LiveCD или KasperskyRecuveDisk предложить пока нечего.

Serka! 30-05-2010 21:59 1424255
Посмотрела раздел "Как это работает" о программе Dr.Web LiveCD. Там сказано в п.7, сто после загрузки надо выбрать папки или диски, которые хотелось бы проверить. Честно говоря, я не знаю, что надо выбирать, т.к. возможно проблема моего компьютера кроется где-то в глубине и я даже не представляю, какой это диск. Попробую проверить С и Д. Но может быть надо что-то еще?

Serka! 08-06-2010 17:12 1430071
Попытка воспользоваться Dr.Web LiveCD не удалась. Когда я пытаюсь его скачать то происходит следующее: высвечивается окошко с перечнем файлов
LiveCD-5.0.3-en.pdf
LiveCD-5.0.3-ru.pdf
md5sum
minDr.WebLiveCD-5.0.3.iso
Когда кликаешь на первые две, то загружается Acrobat Reader (по крайней мере заставка мелькает), мелькают %% загрузки документа, слово "Готово" и дальше пустой экран. Делала несколько раз, результат одинаков.
Третий файл загружается в компьютер, но не открывается.
Последний загружается на Рабочий стол в формате WinRar. Если его разархивировать, то происходит следующее: папка Boot при открытии разворачивается на:
isolinux
memtest86plus
module
и файлы boot, которые при попытке открыть их высвечивают "неправильный файл объекта безопасности открытого ключа и подзаголовок "неправильный файл Каталог безопасности.
Другие файлы:
config
DrWebLive
initrd
memtest
vmlinuz
При попытке открыть их компьютер запрашивает: "Выберите программы для открытия файла. Далее идет список программ, которые есть в компьютере. Мне кажется, они не подходят, но я не знаю.

Закачать Dr.Web LiveCD на диск Е не удалось, т.е. я попыталась нажать Extract to и определить Destination диск E:\ (т.е. компакт-диск (E:\)). Компьютер ответил WinRar: Diagnostic messages
message
Can not create folder E:\

Честно говоря, я в отчаянии, потому что чувствую, что это борьба с монстром, у которого на месте отрезанной части тела несколько новых вырастает.

Попробую загрузить Касперского, но предполагаю, что с тем же успехом

Drongo 08-06-2010 18:27 1430108
Цитата:
Цитата Serka!
Последний загружается на Рабочий стол в формате WinRar. Если его разархивировать »
Формат WinRar потому что образ в формате .iso его не разархивировать нужно а записать на CD-R диск, тоже самое и с диском касперского. Почитайте - Как записать .iso файл - как записать ISO-Windows.

После того как запишите, вам нужно перезагрузить компьютер и загрузиться с записаного диска, а дальше по инструкции предлагаемом меню диска.


Время: 13:24.

Время: 13:24.
© OSzone.net 2001-