Каспер стёр системные файлы

[Next]

Сегодня подцепил трояна, из тех что деньги за SMS вымогают: "наша компания определила, что ваш комп заражён опасным вирусом... бла-бла-бла, дайте бабки!" И написано название вируса: Trojan-Spy.Win32.Zbot.ikn. Ещё какая-то приколка: внимание: не переустанавливайте систему, т.к. это приведёт к потере данных, поскольку троян проник в БИОС". При отказе заплатить, через 30 сек шёл на перезагрузку. Подобные трояны ранее ловил уже неоднократно: проблему решал просто - загружался с другой учётки, копировал файлы из старой учётки в новую, а предыдущюю косил нах и всё! А тут вдруг не одна не запускается! Чего не ткни: везде эта хрень вылазит. Думал хоть Каспер поможет. Благо была вторая система. Запустил Кампера, он мне всё отсканировал, вроде как всё удалил, перезагружаюсь... пишет: "идёт загрузка личных параметров"... Бах!!! "идёт завершение сеанса"... нажимаю вторую - тоже самое! И так постоянно! И что теперь: косить систему? КАК МНЕ ЗАПУСТИТЬ РАБОЧИЙ СТОЛ? Может Каспер какие файлы стёр? Или Вирус отключил рабочий стол? ХЕЛП!!!

[romul781]

Next, в Безопасный режим можете зайти?

[Next]

Можно, только бесполезно. Заменил папку System32 - ЗАРАБОТАЛО!!! Правда не без глюков: разрешение экрана 640 на 480 и 16 Цветов! Давно таких марсианских пейзажей не видал!! Ща, скачиваю дрова! Интернет работает (правда не один из браузеров ничего не грузит). Звук вроде бы имеется... с остальным ещё не разобрался. Но главное, что у меня теперь есть рабочий стол - это КРУТО!!!

[romul781]

рад за вас

[Next]

Сообщение от romul781

рад за вас

Пасибо.

[Next]

Мда, праздновал победу не долго. Система работает и работает стабильно, но остаются проблемы, например с сетью. Может не слишком удачной была идея заменить системные файлы, хотя есть ещё шанс вернуть всё на место (все копии у меня есть). Не знаю надо ли мне создавать новую тему, поскольку, поскольку все вопросы будут по Винде, а мою тему уже перенесли в раздел безопасность… Но я всё же выложу их здесь, если што, напишу ещё раз в теме ХР: если админы будут не против?
1. Интернет. Сообщение сетевухи (Marvell Yukon): «подключение ограниченно или отсутствует». Кнопочка исправить не помогает, отсылает по что-то к TCP\Ip. Пробовал забить в ручную – ни какой реакции. Всё как было так и осталось. Странно, что в «деталях сетевого подключения» не отображается даже её физический адрес, хотя в диспетчере всё норм. Переустановка дров и устройства результатов так же не принесло. Что можно ещё сделать?
2 Не включается диспетчер устройств. Сообщение: диспетчер отключён администратором! Странно, я то всегда думал что это я. Где можно его включить?
3. Что за файл portmap.exe? Папка sys32. При включение винда ссылалась на него и как вариант предложила удалить упоминания из реемтра. Я так и сделал, поскольку в моих копиях его почему-то не оказалось…

[01pump]

Next,

Без вопросов делайте логи http://pchelpforum.ru/f26/t6442/ и присылайте их

[Next]

Щаз зделаю, спасибо.

---------- Добавлено в 18:00 ---------- Предыдущее сообщение было написано в 16:30 ----------

Лог: Скачать virusinfo_syscure.zip с exfile.ru

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('D:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('D:\WINDOWS\system32\7ca6500a.exe','');
 DeleteFile('D:\WINDOWS\system32\7ca6500a.exe');
 DeleteFile('D:\WINDOWS\system32\sdra64.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.

ПК перезагрузится.

Выполнить скрипт в AVZ.

var
  qfolder: string;
  qname: string;
begin
  qname := GetAVZDirectory + '..\Quarantine\quarantine.zip';
  qfolder := ExtractFilePath(qname);
  if (not DirectoryExists(qfolder)) then CreateDirectory(qfolder);
  CreateQurantineArchive(qname);
  ExecuteFile('explorer.exe', qfolder, 1, 0, false);
end.

Вы увидите папку с архивом. Это - карантин.
Карантин отправьте на newvirus@tut.by (размер карантина должен быть больше 5кб)
Сделайте новые логи.

[01pump]

Next,
В добавок к предыдущему посту snifer67 выполните следующий скрипт

 
begin
ExecuteRepair(15);
RebootWindows(true);
end.

После перезагрузки создайте заново сетевое подключение.

[Next]

01pump,

Сообщение от 01pump

Next,
В добавок к предыдущему посту snifer67 выполните следующий скрипт

Ок.

Сообщение от snifer67

Выполните скрипт

файл в карантине занимал 1 кб

Сообщение от snifer67

Сделайте новые логи

hijackthis
Скачать hijackthis.log с exfile.ru
Скачать startuplist.txt с exfile.ru
hijackthis шпионов обнаружено не было.
Ещё какой-то файл не знаю к кому:
Скачать hs_err_pid3588.log с exfile.ru
Rist
Скачать info.txt с exfile.ru
Скачать log.txt с exfile.ru
ADS-Spy
Муть какая-то: одни ссылки, курсоры и файлы Каспера... файл 1 кб
Скачать ADS-Spy.Scan.txt с exfile.ru
Утилитой DSS просканировать не получилось: требует, чтобы я немедленно завершил работу hijackthis... Я даже деинсталировал hijackthis, чтоб ей не думалось, удалил куски, снёс папку Deckard, со всем, что она там насоздавала, перезагрузился, облом...
GMER не работает.
Начнется экспресс-проверка, затем окно программы исчезает и больше ничего не происходит. При повторном запуске комп превращается в 386, помогает лишь Reset. Может я мало ждал? Запуск от имени администратора не помогает.
ComboFix
Скачать ComboFix.txt с exfile.ru

[01pump]

Next,

Вы зачем кучу дополнительных логов наделали?

Вот это сделайте обязательно:
выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip

[Next]

01pump А, поприкалываться над вами над всеми захотелось!
Вот: Скачать virusinfo_syscheck.zip с exfile.ru, больше ничего не буду делать, а то опять скажешь "зачем так много"?

[01pump]

Next,
Сеть проверяли? Заработала?

[Next]

Сообщение от 01pump

Next,
В добавок к предыдущему посту snifer67

Инет Заработал!!!!!