[решено] При загрузке ошибка запуска Mrshield.exe

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - [решено] При загрузке ошибка запуска Mrshield.exe (http://forum.oszone.net/showthread.php?t=97936)

Сет	12-01-2008 16:56 714940

[решено] При загрузке ошибка запуска Mrshield.exe

подскажите: при запуске компа проблемы:
Выбираю пользователя(он один), ввожу пароль и комп подвисает гдето секунд на 20 с картиной ввода пароля на экране, а потом это резко меняется на рабочий стол со всеми програмами,которые в автозапуске(типа квип и пр.) и 2мя окнами об ошибках:

С:\WINDOWS\Mrshield.exe
Отказано в доступе к указаному устройству, пути или файлу. Возможно, у вас нет нужных прав доступа к этому обьекту.

и

Редактор реестра
Редактирование реестра защищено администратором системы.

Что это вообще такое?

Blast

12-01-2008 16:57 714942

Цитата:

Цитата Сет

Что это вообще такое? »

последствия вирусов очевидно, когда проверялсь последний раз?

Сначала восстановите возможность открытия редактора реестра.
Затем в нем проверьте наличие параметров, в значениях которых присутствует это имя файла, например в этих разделах:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Ну и излюбленный прием вирусописателей: в разделе реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon значение параметра Shell должно быть только explorer.exe и ничего более

Petya V4sechkin

12-01-2008 17:00 714946

Сет, в дополнение к вышесказанному загрузитесь в безопасном режиме и выполните полную проверку с помощью Dr.Web CureIT! (бесплатный сканер, не требует установки).

После перезагрузки запустите HijackThis, нажмите Do a system scan and save a logfile и выложите hijackthis.log.

Сет	12-01-2008 17:21 714969

Цитата:

Цитата Blast

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run »

В ветке \Policies такого \Explorer\Run и быть не должно, если я не ошибаюсь...

Цитата:

Цитата Blast

последствия вирусов очевидно, когда проверялсь последний раз? »

Да,как раз после проверки появилось.

Цитата:

Цитата Blast

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run »

Проверил сразу - ничего подозрительного

Цитата:

Цитата Blast

Ну и излюбленный прием вирусописателей: в разделе реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon значение параметра Shell должно быть только explorer.exe и ничего более »

За это спасибо,я совсем забыл :)
после этого комп грузится нормально,вот только ошибка с реестром выпадает всеравно.

Цитата:

Цитата Blast

Сначала восстановите возможность открытия редактора реестра. »

Побаиваюсь, если чесно :dont-know

Цитата:

Цитата Petya V4sechkin

Сет, в дополнение к вышесказанному загрузитесь в безопасном режиме и выполните полную проверку с помощью Dr.Web CureIT! (бесплатный сканер, не требует установки). »

им и пользуюсь уже месяца 3, обновляю перед каждой проверкой :)

Blast

12-01-2008 17:25 714972

Цитата:

Цитата Сет

В ветке \Policies такого \Explorer\Run и быть не должно, если я не ошибаюсь... »

по умолчанию - нет, после некоторых вирусов - вполне

Цитата:

Цитата Сет

Побаиваюсь, если чесно »

чего? там ничего страшного нет :)

не хотите твикеров так в политиках поправьте, в той же теме путь я указывал

А еще можно взять альтернативный редактор реестра, например RegWorks - если с реестром приходится часто работать, то очень рекомендую, лишнего ничего практически, но по сравнению со стандартным редактором реестра дает несколько преимуществ, таких как удобный поиск, адресную строку, отмену последних изменений и т.д.

Сет	12-01-2008 17:49 714992

так, это что -то новенькое..
Сделал я только это:

Цитата:

Цитата Blast

в разделе реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon значение параметра Shell должно быть только explorer.exe и ничего более »

после перезагрузки перестала функционировать сеть. Тоест подключение есть, но сеть не видет. Не пингуется.

Цитата:

Цитата Petya V4sechkin

После перезагрузки запустите HijackThis, нажмите Do a system scan and save a logfile и выложите hijackthis.log. »

Просканировал.Прикрепил.Во время сканирования HijackThis Нод обнаружил и удалил файл С:\WINDOWS\Mrshield.exe, хотя до этого его вообще не мог найти в системе...Что с сетью-то делать..?

Сет	12-01-2008 17:51 714994

Вложений: 1

Забыл :)

Blast

12-01-2008 17:51 714995

Цитата:

Цитата Сет

после перезагрузки перестала функционировать сеть »

это совсем не связанные вещи... серьезно, параметр Shell только лишь определяет запуск оболочки, то есть explorer...

Сет	12-01-2008 17:53 714998

Цитата:

Цитата Blast

это совсем не связанные вещи... серьезно, параметр Shell только лишь определяет запуск оболочки, то есть explorer... »

Да я как человек немного разбирающийся понимаю, что это бред, но не могу понять,чего сеть перестала роботать...

Blast

12-01-2008 17:59 715006

Цитата:

Цитата Сет

Во время сканирования HijackThis Нод обнаружил и удалил файл С:\WINDOWS\Mrshield.exe »

может из-за этого? мало ли что там еще зверь наделал..
перестала работать локалка или интернет, или и то и другое?
а что у вас из файерволлов установлено?

а, вижу.. аутпост не пробовали выгрузить и потом проверить что с сетью?

Цитата:

Цитата HJL

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com

Trojan-Downloader.Win32.VB.agi

Pili	12-01-2008 18:12 715018

MRSHIELD.EXE это Backdoor.SdBot.gen
Сет,
- Cкачайте CureIT и запустите полную проверку всех дисков в безопасном режиме. Перезагрузитесь в обычный режим.
- Скачайте AVZ и HijackThis и распакуйте архивы avz4.zip и HiJackThis.zip в отдельные папки.
- Отключите восстановление системы, закройте все программы, включая антивирусные программы и firewall, оставьте запущенным только Internet Explorer.
- Запустите AVZ и обновите базы (Файл - Обновление баз). Выберите из меню Файл -Стандартные скрипты и поставьте галку напротив 3-го скрипта и нажмите "Выполнить отмеченные скрипты". После выполнения скрипта обязательно перезагрузите компьютер.
- Запустите AVZ. Выберите из меню Файл - Стандартные скрипты, поставьте галку напротив 2-го скрипта и нажмите "Выполнить отмеченные скрипты".
- Запустите HijackThis. В появившимся бланке, с пользовательском соглашением, нажмите на кнопку I Accept.. Нажмите на кнопку "Do a system scan and save a logfile". Заархивируйте полученный лог.
- Вложите в сообщение файлы логов (zip файлы из каталога AVZ\LOG и HijackThis), всего должно быть 3 файла: virusinfo_syscure.zip, virusinfo_syscheck.zip, hijackthis.zip

Сет	12-01-2008 18:14 715020

"Либо найдите какой-либо твикер поддерживающий такую опцию и через него снимите ограничение, например: fitW (fine tuning of Windows)
там есть группа параметров Безопасность, подгруппа Система и там опция запрета редактирования реестра."
Установил, там не стояла галочка "запретить" включил - выключил,перегрузил - ошибка не исчезла
Не работают только локальная сеть, с инетом все впорядке, проверил.
Выгрузить не могу,нет прав :biggrin:
Так, перегрузился,зашол в безопасном режиме с загрузкей сетевых драйверов под админом - тоже самое..."ни одна из служб доступа к сети не смогла обработать заданый сетевой путь"

Blast

12-01-2008 18:18 715024

Цитата:

Цитата Сет

"ни одна из служб доступа к сети не смогла обработать заданый сетевой путь" »

Файлы в общих сетевых папках открываются медленно или только для чтения, либо появляется сообщение об ошибке - или недолечен или он успел настараться...

Цитата:

Цитата Сет

Установил, там не стояла галочка "запретить" включил - выключил,перегрузил - ошибка не исчезла »

попробуйте остальные способы плиз

Pili	12-01-2008 18:28 715033

sysfldr.dll Trojan/Backdoor
Пофиксите в HJT

Цитата:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.findthewebsiteyouneed.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.findthewebsiteyouneed.com
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O20 - Winlogon Notify: SharedDLLs - C:\WINDOWS\system32\ewts.dll (file missing)
O20 - Winlogon Notify: sysfldr - C:\WINDOWS\SYSTEM32\sysfldr.dll
O20 - Winlogon Notify: WebCheck - C:\WINDOWS\

И есть зловредный сервис
O23 - Service: Microsoft register shield - Unknown owner - C:\WINDOWS\Mrshield.exe
и это может оказаться только верхушкой айсберга

Сет	12-01-2008 18:40 715038

Блин,меня директор выгоняет - хочет домой, надо офис закрывать! :not-me:
До понедельника никак не получится добратся сюда...
Надеюсь послезавтра вы мне поможете добить эту тему.

Pili	12-01-2008 18:41 715040

Сет, самое главное "пофиксить", но это сразу после лечения вирусов

Цитата:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

ставить все SP после SP1 и все обновления.

Сет	14-01-2008 12:58 716390

Вложений: 1

Цитата:

Цитата Pili

- Отключите восстановление системы, закройте все программы, включая антивирусные программы и firewall, оставьте запущенным только Internet Explorer. »

Так, я отключил востановление, попытался повыгружать программы - дофига процесов висит, попытался повыгружать - так мне отказано в доступе...Странно, я ведь зашол под админом :dont-know
Удалил фаервол - зароботала сеть.

Цитата:

Цитата Pili

- Запустите AVZ и обновите базы (Файл - Обновление баз). Выберите из меню Файл -Стандартные скрипты и поставьте галку напротив 3-го скрипта и нажмите "Выполнить отмеченные скрипты". После выполнения скрипта обязательно перезагрузите компьютер.
- Запустите AVZ. Выберите из меню Файл - Стандартные скрипты, поставьте галку напротив 2-го скрипта и нажмите "Выполнить отмеченные скрипты".
- Запустите HijackThis. В появившимся бланке, с пользовательском соглашением, нажмите на кнопку I Accept.. Нажмите на кнопку "Do a system scan and save a logfile". Заархивируйте полученный лог.
- Вложите в сообщение файлы логов (zip файлы из каталога AVZ\LOG и HijackThis), всего должно быть 3 файла: virusinfo_syscure.zip, virusinfo_syscheck.zip, hijackthis.zip »

- выполнил. Прикрепил.

Цитата:

Цитата Pili

sysfldr.dll Trojan/Backdoor
Пофиксите в HJT »

Раскажите,как,пожалуста...

Pili	14-01-2008 13:39 716435

Сет, Что значит "пофиксить с помощью HijackThis", логи сейчас посмотрю

Pili	14-01-2008 13:57 716454

Сет, вместо лога HiJackThis.log вы выложили саму программу HiJackThis.exe :)

Сет	14-01-2008 14:31 716495

А, как фиксить - нашол...Профиксил, перезагрузил - сообщение о реестре все равно выпадает. А, Нод сообшил при старте, что файл http://79.143.178.6/22222.exe - возможно модифицырованый Win32/Statik троян.
Я зделал поиск по имени файла и нашол его в C:\WINDOWS\Temp
Удалил его, темп очистил. При следующей загрузке снова тоже сообщение нода о том же файле. Походу,его что-то создает. Как узнать,что?

Сет	14-01-2008 14:55 716517

Вложений: 1

Как это саму програму?А,точно :)
Сори,меня тут просто отвлекали :)
Вот,вылаживаю

Pili	14-01-2008 15:08 716533

Выполните в AVZ скрипт, на время выполнения скрипта отключите антивирус

Цитата:

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Documents and Settings\Админ\Рабочий стол\мультимедиа\Picture Package Applications\Residence.exe','');
QuarantineFile('C:\Documents and Settings\Кристина\ntuser.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\win32.exe','');
QuarantineFile('C:\WINDOWS\system32\ewts.dll','');
QuarantineFile('C:\qqd.sys','');
QuarantineFile('E:\Fxdrv.sys','');
QuarantineFile('C:\WINDOWS\Mrshield.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\NDIS.sys','');
QuarantineFile('C:\WINDOWS\system32\sysfldr.dll','');
QuarantineFile('C:\WINDOWS\system32\sfc_os.dll','');
QuarantineFile('c:\windows\system32\winlogon.exe','');
DeleteFile('C:\Crack\WinXp SP2 Crack\Windows_XP_Key_Viewer.exe');
DeleteFile('C:\WINDOWS\system32\sysfldr.dll');
DeleteFile('C:\WINDOWS\Mrshield.exe');
DeleteFile('C:\qqd.sys');
DeleteFile('C:\WINDOWS\system32\ewts.dll');
DeleteFile('C:\WINDOWS\system32\drivers\win32.exe');
DeleteFile('C:\Documents and Settings\Кристина\ntuser.exe');
DelBHO('{7E853D72-626A-48EC-A868-BA8D5E23E045}');
DeleteService('Microsoft register shield');
DeleteService('qqd.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

после перезагрузки, выполните ещё один скрипт

Цитата:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ выложите на ifolder.ru или slil.ru или другой файлообменник, ссылку лучше в ПМ.
Пофиксите в HJT

Цитата:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O20 - Winlogon Notify: SharedDLLs - C:\WINDOWS\system32\ewts.dll (file missing)
O20 - Winlogon Notify: sysfldr - C:\WINDOWS\SYSTEM32\sysfldr.dll
O20 - Winlogon Notify: WebCheck - C:\WINDOWS\

Повторите все логи,

Сет	14-01-2008 15:26 716546

Так,все зделал...При загрузке Нод уже не ругается по поводу вируса..Что с реестром посоветуете делать?

Pili	14-01-2008 15:51 716577

Сет, логи старые, сделайте новые логи.
после лечения поменяйте все пароли, они скорее всего ушли. Диск E это у вас что?
C:\WINDOWS\system32\sysfldr.dll Backdoor.Win32.SdBot.cpr
поищите через AVZ - сервис - поиск файлов, если найдутся, добавьте в карантин вручную и выложите ещё раз так же

Цитата:

C:\WINDOWS\Mrshield.exe
E:\Fxdrv.sys
C:\qqd.sys
C:\WINDOWS\system32\ewts.dll

Сет	14-01-2008 16:30 716625

Диск Е - это сидюк. Там диск какой-то умник положил,я не заметил, сори.

Цитата:

Цитата Pili

C:\WINDOWS\system32\sysfldr.dll Backdoor.Win32.SdBot.cpr
поищите через AVZ - сервис - поиск файлов, если найдутся, добавьте в карантин вручную и выложите ещё раз так же
Цитата:C:\WINDOWS\Mrshield.exe
E:\Fxdrv.sys
C:\qqd.sys
C:\WINDOWS\system32\ewts.dll »

Ничего нету.
Сделал новые логи. Щас загружаю на файлообменник.
Паролей на винде не стояло. На квипе поменять?

Pili	14-01-2008 17:13 716671

Пришел ответ из ЛК

Цитата:

C:\Documents and Settings\Кристина\ntuser.exe
C:\WINDOWS\system32\drivers\win32.exe
Trojan-Downloader.Win32.Small.hqy
Детектирование файлов будет добавлено в следующее обновление.

мы их уже удалили
пофиксите

Цитата:

O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Program Files\ICQToolbar\toolbaru.dll (file missing)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)

возможно придется переустанавливать аську (рекомендую qip - qip.ru)
по логам зловредов больше не видно.
Выполните скрипт

Цитата:

var
X : integer;
begin
X := ExecuteWizard('TSW', 1, 1, true);
AddToLog('Количество найденных проблем = '+inttostr(X));
end.

Или, вместо выполнения этого скрипта, запустите в AVZ Мастер поиска и устранения проблем, выберите все системные проблемы и исправьте найденные проблемы.
Отключите не нужные сервисы, гуглтулбар можно снести, если не критично.

Цитата:

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

что из этого не нужно?
Сделайте лог исследования системы и лог HJT (virusinfo_syscheck.zip, hijackthis.zip), вложите в тему (теперь не надо на файлообменник)
Советую прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista" и выполнить рекомендации описанные в ней.

зы. пароли поменять все, у вас был пинч!

Цитата:

Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

ставьте SP2 и все обновления после него! Рекомендую поставить фаервол.

Сет	14-01-2008 17:38 716692

Вложений: 1

Цитата:

Цитата Pili

пофиксите
Цитата:O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\Program Files\ICQToolbar\toolbaru.dll (file missing)
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQToolbar\toolbaru.dll (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe (file missing)
O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing) »

Профиксил.
Сообщение реестра перестало выходить после удаления Нода. Установил - снова стало выпадать при загрузке.
Зделал все,как сказано,решил проверить - поставил Нод поновой - снова выпадает сообщение реестра...
Как же без антивируса? :)

Pili	14-01-2008 17:53 716703

логи чистые

Цитата:

что из этого не нужно?

Цитата:

Цитата Сет

выпадает сообщение реестра... »

что за сообщение? скрин выложит можете?
а вообще, рекомендую на Avira перейти, потому что нод у вас не понятно чем занимался
ещё можете удалить Picture Package и пофиксить

Цитата:

O4 - Global Startup: Picture Package Menu.lnk = ?
O4 - Global Startup: Picture Package VCD Maker.lnk = ?
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by120fd.bay120.hotmail.msn.co...s/MsnPUpld.cab

восстановление системы теперь можно снова включить
Для спокойствия, ещё можете найти c:\program files\media key\magickey.exe и самостоятельно проверить на virustotal.com, скорее всего окажется чистым

Сет	14-01-2008 18:11 716719

Вложений: 1

Цитата:

Цитата Pili

служба SSDPSRV (Служба обнаружения SSDP);служба Alerter (Оповещатель);служба Schedule (Планировщик заданий) - отключил
Прикрепил скриншот
Антивирус определяет начальство(по стоимости:))

Цитата:

Цитата Pili

ещё можете удалить Picture Package »

Нужен,говорят

Pili	14-01-2008 20:34 716841

Хмм... avz не видит, что редактирование реестра запрещено, скорее всего это глюк самого NOD, на всякий случай можете выполнить скрипт AVZ

Цитата:

begin
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(7);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
end.

перезагрузится и переустановить нод, кстатиAvira AntiVir PE free, но на англ. яз.

Сет	15-01-2008 10:45 717173

Ну, до этого стоял Касперский, скорее всего это его отголоски были...Но нам уже не суждено узнать - вчера вечером подошол шеф(начальник IT отдела, порылся в реестре и теперь винда виснет при загрузке :biggrin: ), так что буду все сносить...Pili, огромное спасибо, ты ввел меня в большой AVZ, если так можно сказать,это был очень познавательный и увлекательный урок для меня! Огромное спасибо Blast, за первую помощь.

Pili	15-01-2008 11:04 717189

Сет, пожалуйста :)
винду лучше сразу ставь с интегрированным SP2 и все обновления после SP2

Blast

15-01-2008 11:21 717209

Сет, всегда пожалуйста, рад, что тема была для вас полезной и интересной :)

Сет	15-01-2008 12:44 717304

Винду поставлю свою, полную.
До новых встречь! :up

Время: 21:35.