Сбой по крайней мере в одной службе или драйвере при запуске системы

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

Сбой по крайней мере в одной службе или драйвере при запуске системы

уже 2-3 месяца при включении сервера выдает сообщение "Сбой по крайней мере в одной службе или драйвере при запуске системы". В журнале следующие ошибки:

Тип события: Ошибка
Источник события: Service Control Manager
Категория события: Отсутствует
Код события: 7023
Дата: 14.03.2011
Время: 7:52:27
Пользователь: Н/Д
Компьютер: SERVER
Описание:
Служба "Support Boot" завершена из-за ошибки
Не найден указанный модуль.

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

Тип события: Ошибка
Источник события: Service Control Manager
Категория события: Отсутствует
Код события: 7026
Дата: 14.03.2011
Время: 7:52:27
Пользователь: Н/Д
Компьютер: SERVER
Описание:
Сбой при загрузке драйвера(ов) перезагрузки или запуска системы:
CV2K1

Дополнительные сведения можно найти в центре справки и поддержки, в "http://go.microsoft.com/fwlink/events.asp".

Как с ними бороться ???

nadmarik, можно в разделе реестра
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
поискать эти "Support Boot" и CV2K1, посмотреть параметр ImagePath (имя файла), пробить в любом поисковике в инете (чтобы выяснить, относятся они к легитимному софту или являются "хвостами" убитых вирусов).

Просто удалить.

"Support Boot" не могу найти

nadmarik, надеюсь, без кавычек ищете?

ну конечно без ковычек

nadmarik, да не может быть.
Только если хитрый руткит не дает его увидеть (но это лечить нужно).

проверка с CureIT от DrWeb ничего не нашла, разве что r_server.exe (Remote administrator) находящийся в папке c:\windows\system32\ - Program.RemoteAdmin.167. Я сам его установил для удаленого администрирования, и стоит он уже месяцев 6 и никаких проблем. Обновленный антивирус Касперского тожн ничего не нашел.

nadmarik, попробуйте ещё RootkitRevealer, если разрядность системы подходит.

nadmarik, выложите логи AVZ и HijackThis в соответствии с этими инструкциями.

Цитата:

Цитата nadmarik

Сбой по крайней мере в одной службе или драйвере при запуске системы »

Лично у меня такую хренотень пишет когда у меня подключен сервак через переключатель монитор\клавиатура\мышь. Т.е. один монитор, 1 мышка и 1 клва на 16 серверов. Стоит подключить к ним своё имущество (монитор, клава, мышь) как ошибка исчезает. Как это может быть связано - ума не приложу. Хотя может и совпадение.

karalka1, между прочим у меня тоже стоит автопереключатель D-link KVM 2 портовый. Но дело в том что чуть больше года сервак работал и не было никаких ошибок, а теперь появились.

Petya V4sechkin, логи в файле

nadmarik, в логах вирусы:

Цитата:

Цитата hijackthis.log

O23 - Service: Microsoft security update service (msupdate) - Unknown owner - c:\windows\system32\vhosts.exe (file missing)
O23 - Service: NetMicrosoft - Unknown owner - C:\WINDOWS\System32\Microsoft\Protect\svchost.exe

Цитата:

Цитата avz_sysinfo.htm

Подозрение на маскировку ключа реестра службы\драйвера "ohrqk"

Dr.Web CureIt полную проверку сделали?
Тему лучше перенести в Лечение систем от вредоносных программ.

Dr.Web CureIt делал полную проверку

и Касперским тоже

nadmarik, можете проверить файл C:\WINDOWS\System32\Microsoft\Protect\svchost.exe на VirusTotal или VirSCAN.org (и отправить в Лабораторию Касперского, раз вы им пользуетесь).

Проверьте файл:

Цитата:

C:\WINDOWS\system32\r_server.exe

на http://www.virustotal.com/ru/ ссылки на результат проверки укажите в теме в ввиде ссылок.

Отключите:
Компьютер от интернета/локальной сети
Антивирус/Файерволл

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 TerminateProcessByName('c:\windows\system32\microsoft\protect\svchost.exe');

 QuarantineFile('c:\windows\system32\microsoft\protect\svchost.exe','');

 QuarantineFile('c:\windows\system32\vhosts.exe','');

 DeleteFile('c:\windows\system32\microsoft\protect\svchost.exe');

 DeleteFile('c:\windows\system32\vhosts.exe');

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);

 DeleteService('netmicrosoft');

 DeleteService('msupdate');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

RebootWindows(true);

end.

После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:

begin

 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы
В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

Пофиксить в HijackThis следующие строчки:

Код:

        

R3 - URLSearchHook: (no name) - - (no file)

R3 - URLSearchHook: (no name) - {6778613D-616B-4A6C-9856-65DE943CF424} - (no file)

Сделайте повторные логи AVZ + RSIR
+
Загрузите GMER по одной из указанных ссылок
Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)
Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).
Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

Sections
IAT/EAT
Show all

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
+
Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

Цитата:

Цитата Petya V4sechkin

можете проверить файл C:\WINDOWS\System32\Microsoft\Protect\svchost.exe на VirusTotal или VirSCAN.org (и отправить в Лабораторию Касперского, раз вы им пользуетесь). »

Плюс ко всем советам, проверьте там же ещё и этот файл

Код:

c:\windows\system32\winlogon.exe

nadmarik, И?! Логи повторные где?

maniy77, логи в архиве http://narod.ru/disk/8204606001/logs2.zip.html

сделал проверку системы, в архиве логи с проверками http://narod.ru/disk/8204606001/logs2.zip.html

nadmarik, извините за долгое отсутствие-командировка

Продолжим лечение

А вы RAdmin - удаленное управление компьютером (r_server.exe) сами устанавливали себе?

по поводу проблемы вашей, у вас Kido.
1) Сохраните приведённый ниже текст в файл cleanup.bat в ту же папку, где находится 7xzq5kl8.exe случайное имя утилиты (gmer)

Код:

7xzq5kl8.exe -del service ohrqk

7xzq5kl8.exe -del file "C:\WINDOWS\system32\zfyspqu.dll"

7xzq5kl8.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ohrqk"

7xzq5kl8.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\ohrqk"

7xzq5kl8.exe -reboot

И запустите сохранённый пакетный файл cleanup.bat.
Внимание: Компьютер перезагрузится!
Сделайте новый лог gmer.

2) а)Обязательно установите все 3 патча от MS:
MS08-067
MS08-068
MS09-001
3) [б]скачайте утилиту из вложения[/b] и пролечитесь
# Скачайте архив kk.zip и распакуйте его в отдельную папку на зараженном компьютере.
# Запустите файл kk.exe.
При запуске файла kk.exe без указания каких-либо ключей утилита останавливает активное заражение (удаляет потоки, снимает перехваты), выполняет сканирование основных мест, подверженных заражению, сканирует память, чистит реестр, проверяет flash-накопители.
# Дождитесь окончания сканирования.
По окончании сканирования на компьютере утилита будет ожидать нажатия любой клавиши для закрытия.
Внимание! Если на компьютере, на котором запускается утилита KidoKiller, установлен Agnitum Outpost Firewall, то по окончании работы утилиты обязательно перезагрузите компьютер.
+ к вышесказанным рекомендациям
Установите пароль на учетную запись администратора, если пароль установлен, то убедитесь в его сложности (qwert или 1234 не есть сложный пароль)
Отключите автозапуск программ с различных носителей, кроме CDROM. Для этого скопируйте этот код в блокнот, сохраните под любым именем с расширением .reg Кликните по файлу и подтвердите добавление в реестр.

Код:

Windows Registry Editor Version 5.00



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer]

"NoDriveTypeAutoRun"=dword:000000dd

4) у вас уязвимая система (при сетевом черве обновляем в обязательном порядке!):
*Platform: Windows XP SP2 (WinNT 5.01.2600) до Service Pack 3 (может потребоваться активация)
*Internet Explorer до IE8 даже если им не пользуетесь

К следующему сообщению должны быть прикреплены свежие логи:
1) AVZ
2) Gmer
3) Rsit
4) MBAM

RAdmin - я сам установил, иногда нужен, на нем пароль стоит.

cleanup.bat - выполнил
обновления устанавливал preSP3 для Server 2003 скачанный отсюда http://forum.oszone.net/thread-71346.html

Код:

Протокол антивирусной утилиты AVZ версии 4.35

Сканирование запущено в 28.03.2011 11:23:09

Загружена база: сигнатуры - 287889, нейропрофили - 2, микропрограммы лечения - 56, база от 16.03.2011 18:08

Загружены микропрограммы эвристики: 388

Загружены микропрограммы ИПУ: 9

Загружены цифровые подписи системных файлов: 267478

Режим эвристического анализатора: Максимальный уровень эвристики

Режим лечения: включено

Версия Windows: 5.2.3790, Service Pack 2 ; AVZ работает с правами администратора

Восстановление системы: включено

1. Поиск RootKit и программ, перехватывающих функции API

1.1 Поиск перехватчиков API, работающих в UserMode

 Анализ kernel32.dll, таблица экспорта найдена в секции .text

 Анализ ntdll.dll, таблица экспорта найдена в секции .text

 Анализ user32.dll, таблица экспорта найдена в секции .text

 Анализ advapi32.dll, таблица экспорта найдена в секции .text

 Анализ ws2_32.dll, таблица экспорта найдена в секции .text

 Анализ wininet.dll, таблица экспорта найдена в секции .text

 Анализ rasapi32.dll, таблица экспорта найдена в секции .text

 Анализ urlmon.dll, таблица экспорта найдена в секции .text

 Анализ netapi32.dll, таблица экспорта найдена в секции .text

1.2 Поиск перехватчиков API, работающих в KernelMode

 Драйвер успешно загружен

 SDT найдена (RVA=0A8340)

 Ядро ntkrnlpa.exe обнаружено в памяти по адресу 80800000

   SDT = 808A8340

   KiST = 80834BFC (296)

Функция NtAdjustPrivilegesToken (0C) перехвачена (80968E16->ACC6DCC4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtClose (1B) перехвачена (80936B50->ACC6E496), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtConnectPort (21) перехвачена (809226C4->ACC6E8BE), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtCreateFile (27) перехвачена (808F0EB0->ACC7268A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtCreateNamedPipeFile (2E) перехвачена (808F0EEA->ACC6DB8A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtCreateSymbolicLinkObject (36) перехвачена (8093FAC0->ACC6F96C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtCreateThread (37) перехвачена (8094D258->ACC6E23A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtDebugActiveProcess (3B) перехвачена (809A357C->ACC6F39E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtDeviceIoControlFile (45) перехвачена (808F1070->ACC6E690), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtDuplicateObject (47) перехвачена (809386A0->ACC6FDAE), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtFsControlFile (58) перехвачена (808F10A4->ACC6E542), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtLoadDriver (65) перехвачена (808FC312->ACC6F430), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtOpenFile (7A) перехвачена (808F1FBA->ACC724CE), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtOpenProcess (80) перехвачена (80946E6E->ACC6DEF4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtOpenSection (83) перехвачена (8092893C->ACC6F996), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtOpenThread (86) перехвачена (809470FC->ACC6DDF6), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtQueueApcThread (BC) перехвачена (8094D4AE->ACC6F6C4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtReplaceKey (C9) перехвачена (808DC912->ACC6D05A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtRequestWaitReplyPort (D0) перехвачена (8092098C->ACC6F224), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtRestoreKey (D4) перехвачена (808DC198->ACC6D1BC), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtResumeThread (D6) перехвачена (80951412->ACC6FC82), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtSaveKey (D7) перехвачена (808DC294->ACC6CE5C), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtSecureConnectPort (DA) перехвачена (80921D70->ACC6E780), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtSetContextThread (DD) перехвачена (8094D97E->ACC6E33A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtSetSecurityObject (F6) перехвачена (8093B0AE->ACC6F52A), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtSetSystemInformation (F9) перехвачена (8098F850->ACC6F9C0), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtSuspendProcess (106) перехвачена (809514D8->ACC6FAA4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtSuspendThread (107) перехвачена (8095134E->ACC6FB60), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtSystemDebugControl (108) перехвачена (80996F96->ACC6F2CA), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtTerminateProcess (10A) перехвачена (8094EC4A->ACC6E08E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtTerminateThread (10B) перехвачена (8094EE56->ACC6DFE4), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция NtWriteVirtualMemory (11F) перехвачена (8093164A->ACC6E16E), перехватчик C:\WINDOWS\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

>>> Код перехватчика нейтрализован

Функция FsRtlCheckLockForReadAccess (808176EE) - модификация машинного кода. Метод JmpTo. jmp ACC80F1E \SystemRoot\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

Функция IoIsOperationSynchronous (8081C91C) - модификация машинного кода. Метод JmpTo. jmp ACC812F8 \SystemRoot\system32\DRIVERS\klif.sys, драйвер опознан как безопасный

>>> Функция воcстановлена успешно !

Проверено функций: 296, перехвачено: 32, восстановлено: 34

1.3 Проверка IDT и SYSENTER

 Анализ для процессора 1

 Анализ для процессора 2

CmpCallCallBacks = 00000000

 Проверка IDT и SYSENTER завершена

1.4 Поиск маскировки процессов и драйверов

Маскировка процесса с PID=408, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 408)

Маскировка процесса с PID=1848, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1848)

Маскировка процесса с PID=1864, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1864)

Маскировка процесса с PID=204, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 204)

Маскировка процесса с PID=268, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 268)

Маскировка процесса с PID=428, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 428)

Маскировка процесса с PID=196, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 196)

Маскировка процесса с PID=1088, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1088)

Маскировка процесса с PID=1364, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1364)

Маскировка процесса с PID=1140, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1140)

Маскировка процесса с PID=628, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 628)

Маскировка процесса с PID=1696, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1696)

Маскировка процесса с PID=1708, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1708)

Маскировка процесса с PID=2076, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2076)

Маскировка процесса с PID=2152, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2152)

Маскировка процесса с PID=2160, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2160)

Маскировка процесса с PID=2168, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2168)

Маскировка процесса с PID=2176, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2176)

Маскировка процесса с PID=2184, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2184)

Маскировка процесса с PID=2212, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2212)

Маскировка процесса с PID=2224, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2224)

Маскировка процесса с PID=2236, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2236)

Маскировка процесса с PID=2244, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2244)

Маскировка процесса с PID=2492, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2492)

Маскировка процесса с PID=2840, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2840)

Маскировка процесса с PID=2856, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2856)

Маскировка процесса с PID=2868, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2868)

Маскировка процесса с PID=2896, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2896)

Маскировка процесса с PID=2948, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2948)

Маскировка процесса с PID=3000, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3000)

Маскировка процесса с PID=3008, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3008)

Маскировка процесса с PID=3328, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3328)

Маскировка процесса с PID=2676, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2676)

Маскировка процесса с PID=3232, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3232)

Маскировка процесса с PID=2380, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2380)

Маскировка процесса с PID=1100, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1100)

Маскировка процесса с PID=3940, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3940)

Маскировка процесса с PID=3304, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3304)

Маскировка процесса с PID=632, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 632)

Маскировка процесса с PID=2260, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2260)

Маскировка процесса с PID=2440, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2440)

Маскировка процесса с PID=2512, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2512)

Маскировка процесса с PID=2720, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2720)

Маскировка процесса с PID=2892, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2892)

Маскировка процесса с PID=3128, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3128)

Маскировка процесса с PID=2968, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2968)

Маскировка процесса с PID=892, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 892)

Маскировка процесса с PID=1736, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1736)

Маскировка процесса с PID=3936, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3936)

Маскировка процесса с PID=600, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 600)

Маскировка процесса с PID=3972, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3972)

Маскировка процесса с PID=624, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 624)

Маскировка процесса с PID=2152, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2152)

Маскировка процесса с PID=1660, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1660)

Маскировка процесса с PID=3704, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 3704)

Маскировка процесса с PID=1732, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 1732)

Маскировка процесса с PID=360, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 360)

Маскировка процесса с PID=2312, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2312)

Маскировка процесса с PID=640, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 640)

Маскировка процесса с PID=2160, имя = ""

 >> обнаружена подмена PID (текущий PID=0, реальный = 2160)

 Поиск маскировки процессов и драйверов завершен

1.5 Проверка обработчиков IRP

 Драйвер успешно загружен

 Проверка завершена

2. Проверка памяти

 Количество найденных процессов: 51

Анализатор - изучается процесс 476 C:\WINDOWS\system32\winlogon.exe

[ES]:Может работать с сетью

[ES]:Приложение не имеет видимых окон

[ES]:Размещается в системной папке

[ES]:Записан в автозапуск !!

Анализатор - изучается процесс 752 C:\Program Files\USB Safely Remove\USBSRService.exe

[ES]:Приложение не имеет видимых окон

Анализатор - изучается процесс 1496 C:\Program Files\rnamfler\naofsvc.exe

[ES]:Приложение не имеет видимых окон

[ES]:EXE упаковщик ?

Анализатор - изучается процесс 1564 C:\WINDOWS\System32\r_server.exe

[ES]:Может работать с сетью

[ES]:Прослушивает порты TCP !

[ES]:Приложение не имеет видимых окон

[ES]:Размещается в системной папке

Анализатор - изучается процесс 2432 C:\PROGRA~1\TrafInsp\ASP.NET\bin\TIASPN~1.EXE

[ES]:Может работать с сетью

[ES]:Приложение не имеет видимых окон

 Количество загруженных модулей: 476

Проверка памяти завершена

3. Сканирование дисков

C:\Documents and Settings\Администратор\Application Data\Thinstall\R-Studio 5.0\%drive_D%\WINDOWS\system32\winlogon.bak - PE файл с нестандартным расширением(степень опасности 5%)

Файл успешно помещен в карантин (C:\Documents and Settings\Администратор\Application Data\Thinstall\R-Studio 5.0\%drive_D%\WINDOWS\system32\winlogon.bak)

Прямое чтение C:\Documents and Settings\Администратор\Local Settings\Temp\nsyF.tmp

Прямое чтение C:\Documents and Settings\Администратор\Local Settings\Temp\~DF6024.tmp

C:\Program Files\CommFort_server5\CommFort_server.exe.BAK - PE файл с нестандартным расширением(степень опасности 5%)

Файл успешно помещен в карантин (C:\Program Files\CommFort_server5\CommFort_server.exe.BAK)

C:\Program Files\Remote Office Manager - Viewer\ROMViewer.exe.BAK - PE файл с нестандартным расширением(степень опасности 5%)

Файл успешно помещен в карантин (C:\Program Files\Remote Office Manager - Viewer\ROMViewer.exe.BAK)

C:\Program Files\TrafInsp\ticore.dll.BAK - PE файл с нестандартным расширением(степень опасности 5%)

Файл успешно помещен в карантин (C:\Program Files\TrafInsp\ticore.dll.BAK)

4. Проверка Winsock Layered Service Provider (SPI/LSP)

 Настройки LSP проверены. Ошибок не обнаружено

5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)

6. Поиск открытых портов TCP/UDP, используемых вредоносными программами

 Проверка отключена пользователем

7. Эвристичеcкая проверка системы

>>> C:\WINDOWS\system32\r_server.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)

Файл успешно помещен в карантин (C:\WINDOWS\system32\r_server.exe)

Проверка завершена

8. Поиск потенциальных уязвимостей

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)

>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)

>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)

>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)

> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!

>> Безопасность: разрешен автозапуск программ с CDROM

>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)

>> Безопасность: к ПК разрешен доступ анонимного пользователя

>> Безопасность: Разрешены терминальные подключения к данному ПК

>> Безопасность: разрешен автоматический вход в систему

Проверка завершена

9. Мастер поиска и устранения проблем

 >>  Таймаут завершения служб находится за пределами допустимых значений

 >>  Скрыта кнопка завершения работы

Проверка завершена

Просканировано файлов: 154748, извлечено из архивов: 132642, найдено вредоносных программ 0, подозрений - 0

Сканирование завершено в 28.03.2011 11:44:53

!!! Внимание !!! Восстановлено 34 функций KiST в ходе работы антируткита

Это может нарушить нормальную работу ряда программ, поэтому настоятельно рекомендуется перезагрузить компьютер

Сканирование длилось 00:21:45

Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,

то Вы можете обратиться в систему http://kaspersky-911.ru

Создание архива с файлами из карантина

Создание архива с файлами из карантина завершено

Выполняется исследование системы

Исследование системы завершено

nadmarik, нельзя ли увидеть полный комплект запрашиваемых мною логов?

Цитата:

Цитата maniy77

К следующему сообщению должны быть прикреплены свежие логи:
1) AVZ - virusinfo_syscure.zip, virusinfo_syscheck.zip
2) Gmer
3) Rsit
4) MBAM »

судя по текстовой части лога avz у вас еще есть, что лечить

текстовую часть, пожалуйста, возьмите в тег [more] ["more] (вместо " поставьте /)

Для деинсталяции Gmer используйте следующие рекомендации:
Деинсталлируйте gmer, запустите C:\WINDOWS\gmer_uninstall.cmd

Скачайте OTCleanIt или с зеркала, запустите, нажмите Clean up

жду от вас

1) AVZ - virusinfo_syscure.zip, virusinfo_syscheck.zip
2) Rsit
3) MBAM »

еще раз настоятельно прошу Вас взять текстовую часть лога авз из вашего предыдущего сообщения (сообщение 23) в теги

Цитата:

Цитата maniy77

[more] ["more] (вместо " поставьте /) »

Удалите в MBAM

Зараженные ключи в реестре:

Цитата:

HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.

по проверке вашего карантина

winlogon.bak - чистый

файлы
c:\program files\commfort_server5\commfort_server.exe.bak
c:\program files\remote office manager - viewer\romviewer.exe.bak
c:\program files\trafinsp\ticore.dll.bak

в обработке

чтобы сэкономить время, проверьте их сами на http://www.virustotal.com
ссылки на результаты проверки сюда запостите

как самочувствие?

c:\program files\commfort_server5\commfort_server.exe.bak

http://www.virustotal.com/file-scan/...de-1301370887#

c:\program files\remote office manager - viewer\romviewer.exe.bak

http://www.virustotal.com/file-scan/...2bb-1301371493

c:\program files\trafinsp\ticore.dll.bak

http://www.virustotal.com/file-scan/...f49-1301371764

Вы не ответили, как самочувствие.
МВАМ деинсталлируйте.

Создайте новую контрольную точку восстановления и очистите заражённую:
1. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить
2. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner

скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
нажмите No, если вы хотите оставить ваши сохраненные пароли
если вы используете Opera, нажмите Opera - Select All - Empty Selected
нажмите No, если вы хотите оставить ваши сохраненные пароли

у меня Восстановление системы, нету

ну да, прошу прощения, у вас же ОС Windows Server 2003..
так что с проблемой?

вы серьезно интересуетесь моим самочувствием ?? если честно то не важно, уже дастала эта ошибка изза нее не могу спокойно выйти с работы оставив сервер на Auto_Power-on___Shut-down_2.03_rus чтобы он сам отключился, потому что выскакивает окно с ошибкой и пока не нажмешь на ОК оно так и будет стоять и сервер не выключится. Кстати я паралельно решаю и эту проблему, может вы с ней поможете разобраться или они как то взаимосвязанны. тема по этой ссылке http://forum.oszone.net/thread-201841-2.html

Тип события: Ошибка
Источник события: DCOM
Категория события: Отсутствует
Код события: 10016
Дата: 16.04.2011
Время: 8:12:30
Пользователь: NT AUTHORITY\NETWORK SERVICE
Компьютер: SERVER
Описание:
Настройки разрешений зависящие от конкретного приложения не предоставляют разрешение Локально Активация для приложения сервера COM Server с CLSID
{BA126AD1-2166-11D1-B1D0-00805FC1270E}
пользователю NT AUTHORITY\NETWORK SERVICE SID (S-1-5-20). Это разрешение можно изменить с помощью средства администрирования Component Services.

вашу проблему с этой ошибкой решают в другой теме, а нам нужны ваши свежие логи
за более чем 2 недели многое может измениться.